CVE-2019-25755: SQL-injection i Joomla-komponent vReview
Ukendte angribere kan stjæle data fra jeres database via Joomla-tillægget vReview 1.9.11. Fjern eller opdatér komponenten nu.
Hvad er det?
CVE-2019-25755 er en sårbarhed i Joomla-komponenten vReview version 1.9.11. Fejlen er en SQL-indsprøjtning (SQL injection), hvor en angriber kan indsætte egne databasekommandoer i et felt, som systemet burde behandle som almindelig tekst. Konkret kan en angriber sende et POST-kald, en formularindsendelse, til funktionen editReview og placere en manipuleret SQL UNION-forespørgsel i parameteren cmId. Herved kan angriberen få webserveren til at udlevere indhold fra databasen, som ellers er skjult, uden at være logget ind.
Hvem rammer det?
Det rammer Joomla-websider, der bruger komponenten vReview i version 1.9.11. Det er typisk virksomheder og foreninger, der bruger Joomla som CMS og har tilføjet vReview for at vise anmeldelser eller vurderinger på siden. Er komponenten ikke installeret, er I ikke ramt af denne konkrete sårbarhed.
Hvad kan ske?
En angriber kan udtrække brugernavne, adgangskoder og oplysninger om databaseversionen direkte fra jeres database, uden at have en brugerkonto. Er adgangskoderne ikke tilstrækkeligt krypteret, kan angriberen efterfølgende logge ind som administrator og få fuld kontrol over hjemmesiden, herunder ændre indhold, uploade skadelig kode eller bruge siden som afsæt til yderligere angreb mod jeres netværk.
Hvor alvorligt er det?
CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres af hvem som helst over internettet med et enkelt manipuleret webkald. Konsekvensen er høj for fortrolighed, da databaseindhold kan læses, men lav for dataintegritet og der er ingen effekt på systemets tilgængelighed. Der er ikke oplysninger om aktiv udnyttelse i praksis, men metoden er beskrevet så konkret, at et angreb er ligetil at udføre.
Hvad gør jeg nu?
Der er ikke oplyst en opdateret version fra leverandøren, så fokus skal være på at fjerne eller isolere komponenten.
- Undersøg om vReview 1.9.11 er installeret på jeres Joomla-side, og deaktivér eller afinstallér komponenten, hvis den ikke er strengt nødvendig.
- Kontakt udvikleren af vReview for at høre, om der findes en rettet version, og opdatér til den, hvis den findes.
- Kan komponenten ikke fjernes, blokér adgang til endpointet editReview på webserver- eller firewall-niveau.
- Skift adgangskoder for alle administratorkonti på Joomla-siden, da eksisterende adgangskoder kan være kompromitteret.
- Gennemgå webserverlog for mistænkelige POST-kald med SQL-lignende indhold i parameteren cmId.
- Er I i tvivl om, hvordan I fjerner komponenten sikkert uden at ødelægge sidens funktion, bør I hente hjælp fra en Joomla-specialist eller sikkerhedskonsulent.
Fjern komponenten inden for 24 timer
Vi anbefaler, at I straks tjekker om vReview 1.9.11 er i brug, og deaktiverer den, indtil der findes en rettet version fra leverandøren. Det er ikke forsvarligt at vente, da angrebet ikke kræver login og kan udføres automatisk med scripts. Har I ikke mulighed for at fjerne komponenten selv, bør I blokere adgangen til endpointet og få en specialist til at gennemgå løsningen hurtigst muligt.
Tidslinje
Konkrete eksempler
Uddrag af kundedata fra en dansk forenings hjemmeside
En dansk brancheforening bruger Joomla med vReview til at lade medlemmer skrive anmeldelser af arrangementer. En ekstern part sender et manipuleret POST-kald til editReview og udtrækker brugernavne og adgangskodehashes fra databasen. Da flere administratorer genbruger adgangskoder andre steder, kan oplysningerne bruges til at forsøge login på andre systemer i organisationen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger vReview 1.9.11?
Log ind i Joomla-administrationen og se under Komponenter. Står vReview på listen, kan I se versionsnummeret der. I kan også søge i filstrukturen på webserveren efter mapper med navnet vreview.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden kræver ikke login og kan udnyttes automatisk, så vi anbefaler at deaktivere komponenten samme dag, I opdager den, i stedet for at vente.
Er vi allerede blevet angrebet?
Det kan I ikke vide uden at gennemgå jeres webserverlog. Kig efter POST-forespørgsler til editReview med usædvanlige tegn som UNION eller SELECT i parameteren cmId.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at persondata som brugernavne og adgangskoder rent faktisk er blevet udtrukket, skal I vurdere anmeldepligt efter databeskyttelsesreglerne. Er der ingen tegn på misbrug, er det primært en teknisk sikring, der skal på plads.
Findes der en officiel opdatering fra leverandøren?
Der er ikke oplyst en rettet version i de tilgængelige oplysninger. Vi anbefaler at kontakte leverandøren direkte og i mellemtiden deaktivere komponenten eller blokere adgangen til det sårbare endpoint.
Påvirker det andre Joomla-komponenter end vReview?
Nej, sårbarheden er specifik for vReview version 1.9.11. Andre komponenter på jeres Joomla-side er ikke automatisk ramt, men bør altid holdes opdaterede separat.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla Component vReview 1.9.11 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the cmId parameter. Attackers can send POST requests to the editReview task endpoint with URL-encoded SQL UNION statements in the cmId parameter to extract database information including usernames, passwords, and database versions.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.