CVE-2019-25759: SQL-indsprøjtning i Joomla-komponenten vBizz
SQL-indsprøjtning i Joomla-komponenten vBizz 1.0.7 lader en logget bruger stjæle data via payid-parameteren. Fjern komponenten, der findes ingen opdatering.
Hvad er det?
CVE-2019-25759 er en SQL-indsprøjtning, en fejl hvor en angriber kan smugle egne databasekommandoer ind i et websystem via et inputfelt. Fejlen findes i Joomla-komponenten vBizz version 1.0.7, som bruges til medarbejderadministration. Ved at sende et POST-kald til systemets medarbejdermodul med et manipuleret payid-parameter kan en angriber få systemet til at udføre vilkårlige SQL-forespørgsler mod databasen. Det gør det muligt at hente følsomme oplysninger som databaseversion og navnene på databaser, som ellers ikke er tilgængelige for almindelige brugere.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører Joomla med komponenten vBizz i version 1.0.7 til at administrere medarbejdere. vBizz er en tredjepartskomponent, ikke en del af Joomla-kernen, så kun de installationer, der aktivt bruger dette modul, er berørte. Ligger sitet offentligt tilgængeligt, og har en angriber allerede en brugerkonto med lave rettigheder, er systemet sårbart.
Hvad kan ske?
En angriber med en almindelig, lavt privilegeret brugerkonto kan udtrække oplysninger fra databasen, herunder databasenavne og version, som kan bruges til at planlægge yderligere angreb. Afhængigt af hvordan databasen er opsat, kan det i praksis også åbne for at læse følsomme medarbejderdata som løn, cpr-lignende oplysninger eller kontaktdata. Det svækker fortroligheden af data markant, mens selve systemets funktion og tilgængelighed ikke påvirkes direkte.
Hvor alvorligt er det?
CVSS-score er 7,1, som er alvorlig. Angrebet kræver en netværksforbindelse, ingen brugerinteraktion fra offeret, men det kræver, at angriberen allerede har en lavt privilegeret, logget brugerkonto på systemet. Det gør angrebet lettere at udføre for en insider eller en angriber, der først har skaffet sig en almindelig konto, end for en helt udenforstående. Konsekvensen er høj på fortrolighed, lav på integritet og ingen på tilgængelighed. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb.
Hvad gør jeg nu?
Der findes ingen officiel opdatering til vBizz 1.0.7, så det lukker ikke hullet ved at vente på en patch.
- Deaktivér eller afinstallér vBizz-komponenten, hvis den ikke er kritisk for driften, indtil en sikker version findes.
- Kan komponenten ikke fjernes, så begræns adgangen til medarbejderadministrationsmodulet til et minimum af betroede brugere.
- Gennemgå brugerkonti med adgang til systemet, og fjern konti, der ikke længere har behov for adgang.
- Sæt en webapplikationsfirewall op til at filtrere mistænkelige payid-værdier i POST-anmodninger, hvis komponenten skal forblive aktiv.
- Gennemgå logfiler for usædvanlige forespørgsler mod medarbejdermodulet for at se, om fejlen allerede er udnyttet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om vBizz kan fjernes uden at bryde jeres arbejdsgange.
Fjern komponenten hurtigst muligt
Vi anbefaler, at I fjerner eller deaktiverer vBizz-komponenten, da der ikke findes en opdatering, der lukker hullet. Er komponenten forretningskritisk, bør I i stedet begrænse adgangen til den og overvåge for mistænkelig aktivitet, mens I finder et alternativ. Det er kun forsvarligt at vente, hvis systemet ikke er tilgængeligt for eksterne brugere, og adgangen allerede er strengt begrænset til få betroede medarbejdere.
Tidslinje
Konkrete eksempler
Medarbejder med almindelig adgang udtrækker databaseoplysninger
En dansk virksomhed bruger Joomla med vBizz til at administrere medarbejderoplysninger internt. En medarbejder med en almindelig, lavt privilegeret konto ændrer payid-parameteren i et POST-kald til medarbejdermodulet og får systemet til at afsløre databasens navn og version. Med disse oplysninger kan personen forberede et mere målrettet angreb mod virksomhedens systemer senere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare komponent?
Gå ind i jeres Joomla-administration under komponenter, og se om vBizz er installeret, og hvilken version der kører. Er versionen 1.0.7 eller ældre, er I berørte.
Kan vi vente med at gøre noget til weekenden?
Det afhænger af, om komponenten er tilgængelig for logget brugere uden for jeres kontrol. Har I mange brugerkonti eller offentlig adgang til medarbejdermodulet, bør I handle inden weekenden. Er adgangen strengt begrænset internt, kan I planlægge fjernelsen i næste uge.
Er fejlen udnyttet i angreb, vi har hørt om?
Der er ingen offentlige oplysninger om, at CVE-2019-25759 aktivt udnyttes i angreb. Det betyder ikke, at det ikke kan ske, men risikoen er teoretisk baseret på den viden, der findes i dag.
Skal vi anmelde noget til Datatilsynet, hvis vi har brugt komponenten?
Kun hvis I finder tegn på, at persondata faktisk er blevet udtrukket via sårbarheden. Gennemgå jeres logfiler for usædvanlige forespørgsler mod payid-parameteren, og vurder derefter om der er sket et sikkerhedsbrud, der skal anmeldes.
Hvorfor er der ingen opdatering til så gammel en komponent?
vBizz er en mindre tredjepartskomponent til Joomla, som ikke længere ser ud til at blive vedligeholdt aktivt. Når en leverandør ikke længere retter fejl, er fjernelse eller udskiftning af komponenten den mest sikre løsning.
Kan vi bruge en webapplikationsfirewall som permanent løsning i stedet for at fjerne komponenten?
En webapplikationsfirewall kan reducere risikoen, men den er ikke en permanent løsning, da nye måder at omgå filtre opstår over tid. Betragt det som en midlertidig foranstaltning, mens I finder en erstatning for komponenten.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component vBizz 1.0.7 contains an SQL injection vulnerability that allows authenticated attackers to execute arbitrary SQL queries by injecting malicious code through the payid parameter. Attackers can submit POST requests to the employee management interface with crafted payid array values containing SQL commands to extract sensitive database information including version and database names.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.