CVE-2019-25749: SQL-injektion i Joomla J-CruisePortal 6.0.4

CVE-2019-25749 er en SQL-indsprøjtning i Joomla-udvidelsen J-CruisePortal version 6.0.4. SQL-indsprøjtning betyder, at en angriber kan sende egne databasekommandoer ind gennem et almindeligt inputfelt, fordi systemet ikke renser det, der bliver sendt ind. Fejlen sidder i feltet guest_adult, som bruges til at angive antal voksne gæster på en krydstogtbestilling. Ved at sende en manipuleret forespørgsel til systemets cruises-endepunkt (den del af hjemmesiden, der modtager bookingdata) kan angriberen få adgang til data i databasen eller ændre poster i den. Angrebet kræver, at man er logget ind, men kun med en almindelig brugerkonto, ikke administratorrettigheder.

Det rammer virksomheder, der driver en Joomla-baseret hjemmeside med udvidelsen J-CruisePortal i version 6.0.4. Det gælder typisk rejsebureauer og krydstogtformidlere, der bruger modulet til online booking af krydstogte. Er I i tvivl om, hvilke udvidelser der ligger på jeres Joomla-installation, bør jeres webbureau eller den, der administrerer siden, tjekke Joomla-administrationspanelet under udvidelser.

En angriber med en almindelig kundekonto kan udtrække oplysninger fra databasen, for eksempel andre kunders bookingdata, navne, kontaktoplysninger eller interne systemdata. Fejlen giver ikke mulighed for at slette eller ødelægge data (integritet er kun let påvirket, og tilgængelighed er ikke ramt), men den kan give adgang til fortrolige oplysninger, der ellers skulle være beskyttet. For et rejsebureau kan det betyde brud på persondatasikkerheden, hvis kundedata bliver eksponeret.

CVSS-scoren er 7,1 af 10, hvilket er alvorligt. Angrebet kræver netværksadgang og kan udføres uden brugerinteraktion fra offeret, men det kræver, at angriberen har en gyldig, lav-privilegeret brugerkonto på siden. Det gør fejlen mere farlig internt eller for kunder, der allerede har oprettet en konto, end for en helt anonym angriber udenfor. Konsekvensen ligger primært i fortrolighed: data kan læses, men ikke ændres eller slettes i stort omfang. Der er ingen offentlig oplysning om, at fejlen aktivt udnyttes, eller at der findes en færdig, offentlig udnyttelseskode.

Prioritér disse skridt, hvis I bruger J-CruisePortal 6.0.4:

1. Undersøg om leverandøren har udgivet en opdateret version af udvidelsen, og installér den. Er der ingen opdatering tilgængelig, bør udvidelsen deaktiveres eller fjernes, indtil en rettet version findes.
2. Kan udvidelsen ikke fjernes, så begræns adgangen til bookingfunktionen, for eksempel ved at kræve ekstra godkendelse eller ved at spærre for direkte adgang til cruises-endepunktet fra uautoriserede konti.
3. Gennemgå jeres brugerkonti og fjern eller nulstil konti, I ikke kan stå inde for, da angrebet kræver en logget-ind bruger.
4. Tjek webserverens logfiler for usædvanlige POST-forespørgsler til bookingsystemet, særligt med mistænkelige tegn i guest_adult-feltet.
5. Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis I ikke selv kan afklare, om udvidelsen kan opdateres eller skal udskiftes med et andet bookingmodul.