CVE-2019-25756: SQL-fejl i Joomla-komponenten vAccount

CVE-2019-25756 er en sårbarhed i tredjepartskomponenten vAccount til Joomla, version 2.0.2. Fejlen er en SQL-indsprøjtning, hvor en angriber sender egen kode ind i et databasekald via parameteren ‘vid’ i webadressen. Ved at sende et manipuleret GET-kald til endepunktet vaccount-dashboard/expense kan angriberen få databasen til at udlevere oplysninger, den ikke burde vise, blandt andet databasens navn og version. Angrebet kræver hverken login eller handling fra en bruger, kun adgang til den offentlige webadresse.

Det rammer virksomheder og foreninger, der driver en Joomla-baseret hjemmeside med komponenten vAccount installeret, typisk brugt til medlemskaber, kontingenter eller udgiftsstyring. Er komponenten aktiv på en offentligt tilgængelig side, er den sårbar uanset hvilken øvrig sikkerhed Joomla-kernen har.

En angriber kan uden at logge ind trække oplysninger direkte fra databasen, herunder tekniske detaljer der gør det lettere at planlægge et større angreb. Er der personoplysninger, medlemsdata eller betalingsrelaterede oplysninger i samme database, er der risiko for, at de kan læses eller kortlægges. Fejlen giver ikke i sig selv mulighed for at slette data eller lukke systemet ned, men den åbner for videre udnyttelse.

CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen godkendelse, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er primært læk af data (fortrolighed sat til høj), mens integritet og drift kun i begrænset omfang eller slet ikke påvirkes. Der er ikke oplyst en officiel rettelse fra leverandøren, så sårbarheden er reelt åben, indtil komponenten fjernes, opdateres eller afskærmes.

Følg punkterne i rækkefølge, det første lukker hullet med det samme:

1. Deaktivér eller afinstallér vAccount-komponenten i Joomla-administrationen, hvis den ikke er kritisk for driften.
2. Kan komponenten ikke fjernes med det samme, så blokér adgang til endepunktet vaccount-dashboard/expense via en webapplikationsfirewall eller på webserverniveau.
3. Gennemgå webserverens logfiler for usædvanlige kald til vaccount-dashboard/expense med mistænkelige værdier i parameteren vid.
4. Kontakt leverandøren af komponenten for at høre, om der findes en rettet version, eller undersøg alternative komponenter til samme funktion.
5. Skift adgangskoder til databasen og gennemgå, hvilke data der er tilgængelige fra den ramte database, hvis I ikke kan udelukke, at der har været adgang.
6. Er I i tvivl om, hvorvidt komponenten er i brug, eller om I har været udsat for angreb, bør I få en ekstern sikkerhedsgennemgang af Joomla-installationen.