CVE-2019-25757: SQL-indsprøjtning i Joomla vWishlist 1.0.1

CVE-2019-25757 er en SQL-indsprøjtning, en fejl hvor et system sender brugerens input direkte videre til databasen uden at kontrollere det, i Joomla-udvidelsen vWishlist version 1.0.1. Fejlen sidder i parametrene vproductid og userid, som udvidelsen bruger til at gemme og vise brugeres ønskelister. En bruger, der allerede er logget ind på hjemmesiden, kan sende et manipuleret POST-kald med SQL-kode i disse parametre og få systemet til at udføre kaldet mod databasen. Herved kan man hente oplysninger ud af databasen, blandt andet database- og versionsnavne, som normalt ikke er synlige.

Det gælder danske virksomheder, der driver en Joomla-baseret hjemmeside eller webshop med udvidelsen vWishlist installeret i version 1.0.1. Typisk er det mindre webshops, der bruger udvidelsen til at lade kunder gemme varer på en ønskeliste. Alle sider, hvor almindelige brugere kan oprette en konto og logge ind, er potentielt berørt, fordi angrebet kræver en almindelig brugerkonto, ikke administratoradgang.

En kunde eller en angriber, der har opnået en almindelig brugerkonto, kan udnytte fejlen til at læse data fra hjemmesidens database. Det kan være andre kunders oplysninger, adgangskodehash eller opsætningsdata, som normalt er skjult. Fejlen giver ikke mulighed for at ændre eller slette data, og den kan ikke bruges til at lukke sitet ned, men den kan afsløre fortrolige oplysninger, hvis den udnyttes systematisk.

CVSS-scoren er 7,1 ud af 10, hvilket klassificeres som alvorlig. Angrebet kræver netværksadgang og lav teknisk kompleksitet, men også en gyldig brugerkonto med lave rettigheder, altså login. Der kræves ikke brugerhandling fra offeret, og angriberen behøver ikke lokke nogen til at klikke på noget. Konsekvensen er høj for fortrolighed, altså at data kan læses, mens integritet og tilgængelighed kun i mindre grad eller ikke berøres. Der er ikke oplysninger om, at fejlen aktivt udnyttes i Danmark, men beskrivelsen af det konkrete angrebsmønster gør det sandsynligt, at metoden er offentligt kendt.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Tjek om jeres Joomla-side kører vWishlist 1.0.1. Er der en nyere version med fejlen rettet, opdatér til den. Findes ingen rettet version, deaktivér eller afinstallér udvidelsen, indtil en løsning findes.
2. Gennemgå logfiler for POST-kald til vWishlist-komponenten med usædvanlige tegn i vproductid eller userid, som kan tyde på tidligere udnyttelse.
3. Sæt en webapplikationsfirewall op eller opdatér reglerne, så typiske SQL-indsprøjtningsmønstre blokeres, hvis udvidelsen skal blive kørende kortvarigt.
4. Skift adgangskoder for administratorer og undersøg, om brugerdata er blevet læst uretmæssigt, hvis logfiler viser tegn på udnyttelse.
5. Kontakt en leverandør eller sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om udvidelsen kan fjernes uden at bryde webshoppens funktion, eller hvis I finder tegn på databrud.