CVE-2017-20281: SQL-fejl i Joomla Extra Search
SQL-indsprøjtning i Joomla-komponenten Extra Search 2.2.8 lader angribere uden login hente databaseoplysninger. Fjern komponenten.
Hvad er det?
CVE-2017-20281 er en sårbarhed i tredjepartskomponenten Extra Search version 2.2.8 til Joomla. Sårbarheden er en SQL-indsprøjtning (SQL injection), hvor en angriber indsætter skadelig databasekode i et inputfelt for at manipulere webstedets databaseforespørgsler. Fejlen sidder i parameteren “establename”, som ikke renser brugerens input, før det bruges i en SQL-sætning. Ved at sende et almindeligt GET-kald til index.php med option=com_extrasearch og skadelig kode i establename-feltet kan en angriber læse data direkte fra databasen, uden at være logget ind på webstedet.
Hvem rammer det?
Rammer danske virksomheder, foreninger og kommuner, der driver et Joomla-baseret website med tredjepartskomponenten Extra Search i version 2.2.8 installeret. Komponenten bruges typisk til at give besøgende en udvidet søgefunktion på siden. Websites uden denne komponent, eller med andre versioner, er ikke berørt af netop denne fejl.
Hvad kan ske?
En angriber kan udtrække oplysninger fra webstedets database uden at kende et brugernavn eller en adgangskode. Det kan være medlemslister, kundedata, e-mailadresser eller administratoroplysninger, afhængigt af hvad databasen indeholder. Sårbarheden giver ikke mulighed for at ændre eller slette data, men den kan afsløre følsomme personoplysninger, som efterfølgende bruges til phishing eller identitetstyveri rettet mod jeres kunder eller medlemmer.
Hvor alvorligt er det?
CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver hverken login (PR:N) eller brugerhandling (UI:N), og det kan udføres direkte over internettet (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen er høj for fortrolighed (C:H), da angriberen kan læse databaseindhold, mens integritet og tilgængelighed ikke påvirkes. Der er ikke rapporteret aktiv udnyttelse i praksis, men fremgangsmåden er beskrevet så præcist i den offentlige sårbarhedsrapport, at den kan gennemføres af enhver med basale tekniske færdigheder.
Hvad gør jeg nu?
Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.
- Undersøg om jeres Joomla-installation bruger komponenten Extra Search, og tjek versionsnummeret under Udvidelser i Joomla-administrationen.
- Er version 2.2.8 installeret, deaktivér eller afinstallér komponenten straks, da der ikke findes en officiel sikkerhedsopdatering.
- Gennemgå webserverens logfiler for GET-kald til index.php med option=com_extrasearch og usædvanlige tegn i establename-parameteren, som kan indikere et forsøg på udnyttelse.
- Skift adgangskoder til Joomla-administrationen og databasen, hvis logfilerne viser tegn på uautoriseret adgang.
- Sæt en webapplikationsfirewall foran webstedet som ekstra beskyttelse, hvis komponenten ikke kan fjernes med det samme.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på udtrukket data, eller hvis I mangler ressourcer til selv at gennemgå logfilerne.
Fjern komponenten inden for 48 timer
Vi anbefaler at afinstallere komponenten Extra Search, da der ikke findes en officiel rettelse fra udvikleren. Det er kun forsvarligt at vente, hvis komponenten allerede er deaktiveret eller webstedet ikke er tilgængeligt fra internettet. Er komponenten nødvendig for jeres søgefunktion, bør I finde et alternativ og i mellemtiden beskytte den med en webapplikationsfirewall.
Tidslinje
Konkrete eksempler
Brancheforening med Joomla-hjemmeside
En dansk brancheforening bruger Joomla til sin hjemmeside og har tilføjet Extra Search for at give medlemmerne en bedre søgefunktion. En angriber finder komponenten ved en automatisk scanning af Joomla-websteder og sender en manipuleret forespørgsel gennem establename-parameteren, som udtrækker medlemslisten med navne og e-mailadresser fra databasen. Foreningen opdager først hændelsen, da medlemmer begynder at modtage phishing-mails, der ser ud til at komme fra foreningen selv.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare komponent?
Log ind i Joomla-administrationen, gå til Udvidelser > Administrer, og søg efter “Extra Search”. Versionsnummeret vises i listen.
Kan vi vente til weekenden med at reagere?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes direkte fra internettet. Deaktivér komponenten hurtigst muligt.
Er vi ramt, hvis vi ikke bruger Joomla?
Nej. Sårbarheden findes udelukkende i Joomla-komponenten Extra Search version 2.2.8. Andre CMS-systemer er ikke berørt.
Findes der en opdateret version, der løser problemet?
Der er ikke fundet nogen officiel rettelse fra udvikleren. Vi anbefaler derfor at fjerne komponenten helt.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I kan konstatere, at persondata faktisk er blevet udtrukket. Gennemgå logfiler for tegn på udnyttelse, og kontakt en rådgiver ved tvivl.
Hvordan ser et angreb ud i logfilerne?
Kig efter GET-forespørgsler til index.php med option=com_extrasearch, hvor establename-parameteren indeholder SQL-nøgleord som UNION, SELECT eller kommentartegn.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component Extra Search 2.2.8 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the establename parameter. Attackers can send GET requests to index.php with the option=com_extrasearch parameter and malicious SQL in the establename field to extract sensitive database information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.