CVE-2017-20278: SQL-indsprøjtning i Joomla JoomRecipe 1.0.3
SQL-indsprøjtning i Joomla-tilføjelsen JoomRecipe 1.0.3 lader uautoriserede hente databaseoplysninger. Fjern eller opdatér tilføjelsen.
Hvad er det?
CVE-2017-20278 er en sårbarhed i Joomla-tilføjelsen JoomRecipe version 1.0.3, som bruges til at vise opskrifter på Joomla-hjemmesider. Fejlen er en SQL-indsprøjtning (SQL injection), hvor en angriber kan indsætte egen databasekode i category-parameteren på endpointet all-recipes. Det betyder, at en almindelig GET-forespørgsel til hjemmesiden kan misbruges til at stille spørgsmål direkte til bagvedliggende database, uden at man behøver at logge ind.
Hvem rammer det?
Sårbarheden rammer Joomla-installationer, hvor tilføjelsen JoomRecipe 1.0.3 er installeret og aktiv. Det gælder typisk mindre virksomheder, foreninger og institutioner, der bruger Joomla som CMS til at drive opskriftssider, madblogs eller lignende indholdssider. Alle offentligt tilgængelige sider med tilføjelsen installeret er potentielt udsatte, uanset om selve opskriftsfunktionen bruges aktivt.
Hvad kan ske?
En angriber kan uden login hente data fra databasen, herunder brugernavne, adgangskodehash, e-mailadresser og andre oplysninger, der ligger i samme database som Joomla-installationen. Er databasen delt med andre systemer på hjemmesiden, kan følsomme oplysninger om kunder eller medarbejdere også blive eksponeret. I værste fald kan oplysningerne bruges til at overtage administratorkonti eller som afsæt for yderligere angreb mod virksomhedens øvrige systemer.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over internettet (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen er høj fortrolighed (C:H), det vil sige at angriberen kan læse data den ikke burde have adgang til, mens der ikke er risiko for at data ændres eller systemet lammes. Der er ikke oplysninger om aktiv udnyttelse i naturen, men den lave kompleksitet og fraværet af krav om login gør sårbarheden nem at udnytte automatisk.
Hvad gør jeg nu?
Da JoomRecipe er en ældre og lidt brugt tilføjelse, er der ikke offentliggjort en officiel opdatering fra udvikleren. Følgende trin lukker hullet eller reducerer risikoen, mens I finder en permanent løsning.
- Deaktivér eller afinstallér JoomRecipe-tilføjelsen fra Joomla-administrationen, hvis den ikke er kritisk for hjemmesiden.
- Kan tilføjelsen ikke fjernes, så blokér adgang til all-recipes-endpointet via webserverens konfiguration eller en webapplikationsfirewall (WAF), der filtrerer SQL-mønstre i URL’en.
- Gennemgå webserver- og databaselogfiler for usædvanlige forespørgsler mod all-recipes med mistænkelige tegn som apostroffer eller SQL-nøgleord i category-parameteren.
- Skift adgangskoder for administratorkonti og databasebrugere, hvis I finder tegn på uautoriseret adgang.
- Overvej at flytte til en aktivt vedligeholdt opskrifts- eller indholdstilføjelse, hvis JoomRecipe ikke længere opdateres.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere logfilerne, eller hvis I finder tegn på databrud.
Fjern eller blokér adgang inden 48 timer
Vi anbefaler, at I fjerner eller deaktiverer JoomRecipe med det samme, da der ikke findes en officiel opdatering, der lukker hullet. Kan tilføjelsen ikke fjernes uden videre, bør I som minimum blokere adgang til all-recipes-endpointet, mens I planlægger en udskiftning. Det er ikke forsvarligt at vente, da angrebet kan udføres automatisk og uden login mod alle offentligt tilgængelige installationer.
Tidslinje
Konkrete eksempler
Madblog hos dansk forening
En lokal forening driver en Joomla-baseret opskriftsside med JoomRecipe installeret. En angriber sender automatiserede forespørgsler mod all-recipes med SQL-kode i category-parameteren og udtrækker administratorens adgangskodehash fra databasen. Da adgangskoden er svag, får angriberen adgang til hele Joomla-administrationen og kan ændre indhold eller installere skadelig kode.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger JoomRecipe?
Gå ind i Joomla-administrationen under Tilføjelser og søg efter JoomRecipe. Findes tilføjelsen på listen og er den markeret som aktiveret, er I potentielt udsatte.
Kan vi vente til den næste planlagte opdatering med at rette dette?
Nej. Der findes ingen officiel opdatering, og sårbarheden kan udnyttes uden login. Vi anbefaler at deaktivere eller blokere tilføjelsen nu og planlægge en udskiftning bagefter.
Er vores hjemmeside ramt, hvis vi ikke bruger opskriftsfunktionen aktivt?
Ja, hvis tilføjelsen er installeret og endpointet all-recipes er tilgængeligt, kan det udnyttes, uanset om funktionen bruges af jeres redaktører.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå webserverens loglogfiler for forespørgsler mod all-recipes, hvor category-parameteren indeholder apostroffer, kommentartegn eller ord som UNION og SELECT.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet udtrukket fra databasen. Find ingen tegn på misbrug, er der ikke i sig selv anmeldelsespligt, men vi anbefaler stadig at lukke hullet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla Component JoomRecipe 1.0.3 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the category parameter. Attackers can send GET requests to the all-recipes endpoint with malicious SQL payloads in the category path segment to extract sensitive database information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.