CVE-2017-20279: SQL-injektion i Joomla Payage 2.05

CVE-2017-20279 er en sårbarhed i Payage, en betalingsudvidelse til Joomla version 2.05. Fejlen er en SQL-indsprøjtning, hvor en angriber indsætter egen databasekode i et webformular-felt eller en webadresse for at få systemet til at udføre kommandoer, det ikke burde. I dette tilfælde sker det gennem parameteren aid, som sendes med en almindelig GET-forespørgsel til index.php under funktionen make_payment. Angriberen kan bruge såkaldt blind SQL-indsprøjtning, hvor svaret fra systemet enten er sandt eller falsk, eller hvor svartiden afslører information, til gradvist at hente data ud af databasen uden at have en konto på systemet.

Sårbarheden rammer Joomla-installationer, der bruger betalingsudvidelsen Payage i version 2.05. Det gælder typisk mindre webshops, foreninger og virksomheder, der har tilføjet Payage som betalingsmodul til deres Joomla-side. Er komponenten ikke installeret, er jeres side ikke ramt af denne konkrete sårbarhed.

En angriber kan uden at logge ind hente følsomme oplysninger fra databasen bag jeres hjemmeside. Det kan være kundeoplysninger, betalingsdata, adgangskoder eller administratoroplysninger, afhængigt af hvad databasen indeholder. For en dansk virksomhed betyder det risiko for læk af persondata, som skal håndteres efter databeskyttelsesreglerne, samt risiko for at oplysningerne bruges til videre angreb, for eksempel identitetstyveri eller misbrug af kundedata.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen adgangskode, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj fortrolighed, det vil sige at data kan læses, mens integritet og tilgængelighed kun i begrænset eller ingen grad påvirkes. Der er ikke bekræftet aktiv udnyttelse i angreb, men den tekniske beskrivelse er offentligt tilgængelig og detaljeret nok til, at en angriber let kan udnytte den.

Reager i denne rækkefølge:

1. Undersøg om jeres Joomla-side bruger betalingsudvidelsen Payage, og i så fald hvilken version. Findes version 2.05 eller ældre, skal komponenten fjernes eller deaktiveres, indtil en sikker version er bekræftet.
2. Er komponenten ikke længere nødvendig, bør den afinstalleres helt fremfor blot at blive deaktiveret.
3. Gennemgå webserverens logfiler for usædvanlige forespørgsler til index.php med parameteren aid og task=make_payment, som kan indikere forsøg på udnyttelse.
4. Skift adgangskoder til databasen og administratorkonti, hvis der er tegn på misbrug.
5. Vurder om hændelsen skal anmeldes til Datatilsynet, hvis persondata kan være kompromitteret.
6. Er I i tvivl om, hvorvidt jeres side er ramt, eller mangler I ressourcer til at undersøge logfiler og rydde op, bør I hente ekstern hjælp til en sikkerhedsgennemgang.