CVE-2019-25751: SQL-injection i J-ClassifiedsManager

SQL-injection er en fejl, hvor en angriber kan sende egne databasekommandoer gennem et inputfelt i stedet for de data, feltet er beregnet til. CVE-2019-25751 findes i Joomla-udvidelsen J-ClassifiedsManager version 3.0.5, som bruges til at lave rubrikannoncer og boligannoncer på Joomla-hjemmesider. Fejlen sidder i komponenten displayads, hvor felterne categorySearch, adType og citySearch ikke renser brugerens input, før det sendes videre til databasen. En angriber kan derfor sende specielt formede søgeforespørgsler og få databasen til at udlevere oplysninger, den ikke skulle udlevere, for eksempel brugernavne, databasenavne og versionsoplysninger om selve databasen.

Det rammer alle Joomla-hjemmesider, der har installeret udvidelsen J-ClassifiedsManager i version 3.0.5. Det gælder typisk mindre og mellemstore virksomheder samt foreninger og lokale medier, der bruger udvidelsen til boligannoncer, jobopslag eller lignende rubrikmarkedspladser på deres hjemmeside. Er udvidelsen ikke installeret, er hjemmesiden ikke ramt af denne konkrete sårbarhed.

En angriber kan uden at logge ind sende forespørgsler til hjemmesiden og trække data ud af databasen, herunder brugernavne og tekniske oplysninger om databasen. Afhængigt af hvad databasen ellers indeholder, kan det også omfatte kundedata, kontaktoplysninger fra annoncer eller adgangskodehash til administratorkontoen. Får angriberen fat i adgangskodehash, kan de forsøge at knække dem og få adgang til Joomla-administrationen, hvorfra de kan overtage hele hjemmesiden.

CVSS-scoren er 8,2 ud af 10, hvilket klassificeres som alvorligt. Angrebet kræver hverken login eller nogen handling fra en bruger på hjemmesiden, og det kan udføres over internettet med lav teknisk kompleksitet. Sårbarheden giver kun læseadgang til data, ikke mulighed for at ændre eller slette data eller lukke hjemmesiden ned, men i praksis er læseadgang til hele databasen alvorligt nok til at true kundedata og adgangskoder.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.

1. Tjek om jeres Joomla-hjemmeside har udvidelsen J-ClassifiedsManager installeret, og om versionen er 3.0.5. Er der ikke en opdateret version tilgængelig fra leverandøren, skal udvidelsen deaktiveres eller fjernes helt, indtil der findes en rettelse.
2. Gennemgå webserverens adgangslogs for POST-kald til displayads-komponenten med usædvanligt indhold i categorySearch, adType eller citySearch. Det kan vise, om nogen allerede har forsøgt sig.
3. Skift adgangskoder til databasen og til Joomla-administrationen, hvis der er tegn på misbrug eller usikkerhed om, hvorvidt der er sket adgang.
4. Begræns databasebrugerens rettigheder til det, hjemmesiden reelt har brug for, så en fremtidig injektion ikke automatisk giver adgang til alt.
5. Vurdér om der er lækket personoplysninger, og om det udløser pligt til at underrette Datatilsynet.
6. Har I ikke selv ressourcer til at gennemgå logs eller vurdere omfanget, bør I hente ekstern hjælp til en teknisk gennemgang.