CVE-2019-25753: SQL-fejl i Joomla VMap 1.9.6
SQL-indsprøjtning i Joomla-komponenten VMap 1.9.6 lader angribere uden login hente data fra databasen. Fjern komponenten straks.
Hvad er det?
SQL-indsprøjtning (SQL injection) er en sårbarhed i Joomla-udvidelsen VMap version 1.9.6, der bruges til at vise Google Maps-baserede kort på hjemmesider (CVE-2019-25753). Fejlen findes i parameteren latlngbound, som ikke renser brugerens input korrekt, inden det sendes videre til databasen. En angriber kan sende et almindeligt kald til index.php med option=com_vmap&task=loadmarker og indsætte SQL-kode i stedet for de forventede koordinater. Koden bliver udført direkte mod databasen, uden at nogen skal logge ind eller klikke på noget.
Hvem rammer det?
Danske virksomheder, foreninger og offentlige institutioner, der kører Joomla med udvidelsen VMap version 1.9.6 installeret, typisk til at vise et kort over butikker, afdelinger eller events på hjemmesiden. Rammer især ældre Joomla-installationer, hvor udvidelser sjældent bliver opdateret eller efterset.
Hvad kan ske?
En angriber kan hente følsomme data ud af databasen: brugernavne, adgangskode-hashes, kundeoplysninger og ordredata. Data kan efterfølgende bruges til phishing, identitetstyveri eller videresalg. Ligger der persondata i den ramte database, kan hændelsen udløse en oplysningspligt over for Datatilsynet.
Hvor alvorligt er det?
CVSS-score er 8,2 ud af 10, alvorlig. Angrebet kræver ikke login (PR:N) og ingen brugerhandling (UI:N), og kan udføres over internettet (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen er høj for fortrolighed (C:H), det vil sige angriberen kan læse data i databasen, mens integritet påvirkes begrænset (I:L) og tilgængelighed slet ikke (A:N). Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis, men de tekniske detaljer om parameter og URL er offentligt kendte, hvilket gør det enkelt at bygge et angreb.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Fjern eller deaktiver VMap-komponenten i Joomla, da der ikke findes en officiel rettelse til version 1.9.6.
- Tjek om komponenten overhovedet er installeret og i brug: se under Komponenter i Joomla-administrationen eller spørg jeres webbureau.
- Gennemgå webserverens adgangslogs for kald til index.php?option=com_vmap&task=loadmarker med mistænkeligt indhold i latlngbound-parameteren.
- Skift adgangskoder og roter database-adgangskoder, hvis I finder tegn på, at nogen har udnyttet sårbarheden.
- Sæt en webapplikationsfirewall (WAF) foran hjemmesiden som midlertidig beskyttelse, hvis komponenten ikke kan fjernes med det samme.
- Kontakt en sikkerhedsrådgiver, hvis komponenten har kørt i produktion, og I er i tvivl om, hvorvidt data er blevet tilgået.
Fjern komponenten inden for få dage
Vi anbefaler, at I fjerner VMap-komponenten fra jeres Joomla-installation, da der ikke findes en officiel opdatering, der lukker hullet. Er komponenten forretningskritisk, bør I finde et understøttet alternativ eller sætte en webapplikationsfirewall foran, mens I planlægger udskiftning. Det er ikke forsvarligt at vente, hvis siden er tilgængelig fra internettet, da angrebet er enkelt at udføre og hverken kræver login eller specialviden.
Tidslinje
Konkrete eksempler
Kort over butiksafdelinger lækker kundedata
En dansk detailkæde bruger VMap til at vise et kort over sine fysiske butikker på hjemmesiden. En angriber finder den sårbare URL og bruger SQL-indsprøjtning til at hente kundeoplysninger og adgangskode-hashes fra databasen. Kæden opdager først problemet, da data dukker op til salg på et forum, og må efterfølgende undersøge omfanget og orientere de berørte kunder.
Ofte stillede spørgsmål
Er vi ramt?
Tjek om jeres Joomla-installation har udvidelsen VMap version 1.9.6 installeret. Det ses under Komponenter i Joomla-administrationen, eller I kan spørge jeres webbureau eller udvikler.
Hvordan tjekker vi, om vi er blevet angrebet?
Gennemgå webserverens adgangslogs for kald med com_vmap og loadmarker i URL’en, særligt hvor latlngbound-parameteren indeholder anførselstegn, SQL-nøgleord eller anden usædvanlig tekst.
Kan vi vente til weekenden?
Nej. Angrebet kræver hverken login eller brugerhandling og kan udføres af enhver, der kender URL’en. Vi anbefaler at fjerne komponenten eller afskærme den med det samme.
Findes der en opdatering, vi kan installere?
Der er ikke registreret nogen officiel rettelse til VMap 1.9.6. Løsningen er at fjerne komponenten eller erstatte den med et understøttet alternativ.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået eller udtrukket. Er I i tvivl, bør I søge juridisk rådgivning eller kontakte Datatilsynet for en konkret vurdering.
Hvad gør vi, hvis komponenten ikke kan fjernes med det samme?
Sæt en webapplikationsfirewall foran hjemmesiden, som kan blokere forsøg på SQL-indsprøjtning, mens I planlægger en permanent løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component VMap 1.9.6 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code into the latlngbound parameter. Attackers can send GET requests to index.php with the option=com_vmap&task=loadmarker parameters containing SQL injection payloads to manipulate database queries and extract sensitive information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.