CVE-2017-20282: SQL-sårbarhed i jCart til OpenCart

CVE-2017-20282 er en sårbarhed i Joomla-komponenten jCart, som bruges til at drive webshopfunktioner baseret på OpenCart 2.0. Fejlen er en SQL-indsprøjtning, hvor en angriber kan indsætte egen databasekode gennem parameteren product_id i en almindelig webadresse. SQL-indsprøjtning betyder, at angriberens input bliver fortolket som en del af databasens forespørgsel i stedet for almindelig tekst, hvilket giver adgang til data, angriberen normalt ikke må se. Angrebet kræver ingen adgangskode og ingen handling fra en bruger på sitet, kun en almindelig GET-forespørgsel til index.php med bestemte parametre.

Sårbarheden rammer Joomla-installationer, der har jCart-komponenten til OpenCart 2.0 installeret. Det drejer sig typisk om mindre og mellemstore danske webshops, der har fået bygget en Joomla-baseret side med denne ældre e-handelsudvidelse, ofte af et webbureau for flere år siden. Er komponenten ikke installeret, er sitet ikke berørt af denne konkrete fejl.

En angriber kan hente oplysninger fra databasen, herunder kundedata som navne, adresser, ordrehistorik og i nogle tilfælde adgangskodehash. Angrebet påvirker ikke muligheden for at ændre data eller lukke sitet ned, men lækket af kundeoplysninger kan udløse pligt til at anmelde bruddet til Datatilsynet efter databeskyttelsesforordningen, og det kan skade tilliden til virksomhedens webshop.

CVSS-score er 8,2 ud af 10, alvorlig. Angrebet kan udføres over internettet, kræver ingen forudgående adgang og ingen handling fra en bruger på sitet. Konsekvensen er høj for fortrolighed, det vil sige at angriberen kan læse data, mens integritet og tilgængelighed ikke påvirkes direkte. Der er ingen kendte tilfælde af aktiv udnyttelse i naturen, men den offentliggjorte beskrivelse indeholder så præcise detaljer om angrebsmetoden, at den reelt fungerer som en opskrift, angribere kan bruge direkte.

jCart til OpenCart 2.0 er en ældre, ikke længere vedligeholdt komponent. Der findes ingen officiel rettelse, så indsatsen bør fokusere på at fjerne eller afskærme komponenten.

1. Undersøg om jeres Joomla-installation har jCart-komponenten installeret, og notér versionen.
2. Er komponenten ikke i aktiv brug, fjern den helt fra Joomla-installationen med det samme.
3. Er den i brug, blokér forespørgsler med option=com_jcart og route=product/product via en webapplikationsfirewall, indtil komponenten kan udskiftes.
4. Planlæg overgang til en understøttet e-handelsløsning, da jCart ikke opdateres længere.
5. Gennemgå adgangslogs for mistænkelige forespørgsler mod index.php med parameteren option=com_jcart for at vurdere, om data allerede er blevet udtrukket.
6. Har I ikke selv ressourcer til at vurdere logs eller gennemføre en migrering, bør I hente hjælp fra en ekstern sikkerhedsrådgiver eller jeres webbureau.