CVE-2019-25752: SQL-injektion i Joomla J-BusinessDirectory

CVE-2019-25752 er en SQL-injektion, en fejl hvor en angriber kan indsætte egne databasekommandoer i et websites forespørgsler. Fejlen findes i Joomla-komponenten J-BusinessDirectory version 4.9.7, som bruges til at bygge virksomhedskataloger og lokale søgninger på Joomla-baserede hjemmesider. Angriberen sender en almindelig GET-forespørgsel til index.php med parametrene option=com_jbusinessdirectory og task=categories.getCategories, og indsætter en UNION-baseret SQL-sætning i parameteren type. På den måde kan angriberen trække data direkte ud af databasen, herunder tabelnavne og strukturoplysninger, uden at logge ind eller på anden måde bekræfte sin identitet.

Sårbarheden rammer virksomheder og organisationer, der driver en Joomla-hjemmeside med komponenten J-BusinessDirectory installeret i version 4.9.7. Det gælder typisk mindre og mellemstore virksomheder samt foreninger, der bruger komponenten til at vise virksomhedskataloger, leverandørlister eller lokale søgefunktioner på deres offentlige webside.

En angriber kan uden login læse indhold i databasen, herunder kundedata, brugernavne, krypterede adgangskoder og andre oplysninger, som ligger i samme database som Joomla-installationen. For en dansk virksomhed betyder det risiko for læk af kundeoplysninger, medarbejderdata eller forretningsoplysninger, som kan bruges til videre angreb eller offentliggøres.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen godkendt bruger, ingen handling fra en medarbejder og kan udføres over internettet mod en server, der er tilgængelig fra nettet. Konsekvensen er høj for fortrolighed, det vil sige adgang til data, mens der ikke er nogen kendt risiko for at data ændres eller at siden går ned. Der er ikke belæg for, at sårbarheden aktivt udnyttes i angreb, men den offentliggjorte metode er detaljeret og kan let genskabes af en angriber.

Vi anbefaler følgende trin, i den rækkefølge, de skal udføres:

1. Tjek om komponenten J-BusinessDirectory er installeret på jeres Joomla-side, og find den aktuelle version. Er den 4.9.7 eller nyere uden rettelse, skal I handle nu.
2. Kontakt leverandøren af komponenten for at få en opdateret version, der lukker sårbarheden. Findes der ingen rettet version, skal komponenten deaktiveres eller afinstalleres, indtil den er rettet.
3. Gennemgå webserverens logfiler for forespørgsler, der indeholder task=categories.getCategories og ordet UNION i URL’en, for at se om komponenten allerede er blevet forsøgt udnyttet.
4. Begræns adgang til databasen fra webserveren til det nødvendige, og skift adgangskoder til database og administrationskonti, hvis der er tegn på misbrug.
5. Er der fundet tegn på datalæk, skal I vurdere, om oplysningerne er personhenførbare, og om det udløser anmeldelsespligt til Datatilsynet.
6. Er I i tvivl om, hvordan komponenten er sat op, eller om jeres logfiler viser tegn på misbrug, bør I få hjælp fra en sikkerhedsspecialist til at gennemgå systemet.