CVE-2019-25758: Filupload-sårbarhed i Joomla vBizz

Sårbarheden findes i vBizz 1.0.7, en tredjepartskomponent til indholdssystemet Joomla, der bruges til personale- og medarbejderadministration. Fejlen er en usikker filupload, en svaghed hvor systemet ikke kontrollerer, hvilken type filer der må lægges op, kaldet CWE-434. En bruger, der er logget ind med selv lave rettigheder, kan sende en manipuleret fil gennem feltet profile_pic på medarbejdersiden. Systemet gemmer filen som en PHP-fil i uploads-mappen i stedet for at afvise den, og filen kan derefter køres direkte fra webserveren. Det giver angriberen mulighed for at afvikle egen kode på serveren, kendt som fjernudførelse af kode.

Det rammer Joomla-websites, hvor komponenten vBizz version 1.0.7 er installeret, typisk brugt til HR- og medarbejderdata. Det gælder danske virksomheder, foreninger og kommunale institutioner, der har en Joomla-hjemmeside med denne tredjepartskomponent, og som giver medarbejdere eller eksterne brugere login til profilsider.

En angriber, der kender eller gætter et almindeligt brugerlogin, kan uploade en skadelig fil via profilbilledet og derefter køre den som et program på serveren. Herfra kan angriberen læse og ændre data i databasen, oprette nye administratorkonti, ændre indholdet på hjemmesiden eller bruge serveren som springbræt videre ind i virksomhedens netværk. For en dansk virksomhed betyder det risiko for tab af kunde- og medarbejderdata samt en hjemmeside, der ikke længere kan stoles på.

CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver et gyldigt login med lave rettigheder, men ingen handling fra en anden bruger, og det kan udføres over internettet uden fysisk adgang. Konsekvensen rammer fuldt ud fortrolighed, integritet og tilgængelighed, fordi angriberen får kontrol over serveren. Der findes ingen oplysning om, at sårbarheden aktivt udnyttes i angreb, men den tekniske beskrivelse er detaljeret nok til, at en færdig angrebsmetode kan være i omløb.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.

1. Undersøg om jeres Joomla-hjemmeside bruger komponenten vBizz, og bekræft om det er version 1.0.7.
2. Da der ikke findes en rettet version, fjern eller deaktiver komponenten helt fra Joomla-installationen.
3. Gennemgå uploads-mappen for filer med endelsen .php eller andre uventede filtyper, og slet dem.
4. Skift adgangskoder for alle konti, der har adgang til profilsiden med billedupload.
5. Gennemgå webserverens logfiler for POST-kald til medarbejdersiden med usædvanlige filnavne eller tidspunkter.
6. Få hjælp udefra, hvis I finder tegn på uploadede filer, I ikke selv kan forklare, eller hvis I ikke kan fjerne komponenten uden at hjemmesiden går ned.