CVE-2019-25761: SQL-injection i JoomCRM til Joomla

SQL-injection er en teknik, hvor en angriber indsætter skadelig databasekode i et almindeligt inputfelt eller en webadresse, så den bliver udført af serveren i stedet for kun at blive behandlet som data. I JoomCRM 1.1.1, en tredjeparts CRM-udvidelse (kundehåndteringssystem) til Joomla, kan en bruger, der allerede er logget ind, indsætte skadelig kode i parameteren deal_id på siden com_joomcrm&view=contacts. Det giver adgang til at trække tabelnavne, databasestruktur og andre følsomme oplysninger direkte fra databasen, uden at det kræver særlige rettigheder eller nogen handling fra andre brugere.

Sårbarheden rammer Joomla-websider, der har installeret komponenten JoomCRM i version 1.1.1. Det gælder typisk mindre og mellemstore virksomheder, der bruger Joomla som CMS og JoomCRM til at håndtere kundekontakter, leads eller salgsaftaler direkte på hjemmesiden. Alle brugere med en gyldig, om end lavt privilegeret, login til Joomla-administrationen eller den del af sitet, hvor JoomCRM er tilgængelig, kan udnytte fejlen.

En angriber, der har fået adgang til en almindelig brugerkonto, kan udtrække kundeoplysninger, kontaktdata og databasens opbygning. Det giver et solidt afsæt til yderligere angreb, for eksempel identitetstyveri af kunder eller målrettet phishing baseret på ægte kundeoplysninger. Fejlen giver ikke mulighed for at ændre data eller lukke systemet ned, men fortroligheden af kundedata er i høj grad truet.

CVSS-score er 7,1 ud af 10, hvilket er alvorligt. Angrebet kræver et gyldigt login med lave rettigheder (PR:L), men ingen handling fra andre brugere og ingen adgang til det interne netværk udover almindelig webadgang. Konsekvensen er høj læseadgang til fortrolige data (C:H), mens der ikke er risiko for at ændre data i nævneværdig grad eller lægge systemet ned. Der er ikke rapporteret aktiv udnyttelse i den offentlige beskrivelse, men angrebsmetoden er beskrevet så detaljeret, at den kan gengives uden videre teknisk arbejde.

Følgende skridt lukker hullet og begrænser skaden, hvis komponenten allerede er i brug:

1. Fjern eller deaktivér JoomCRM 1.1.1, hvis komponenten ikke er kritisk for driften, indtil en opdateret version findes.
2. Undersøg om der findes en nyere version af JoomCRM fra leverandøren, og opgradér til denne, hvis den findes.
3. Gennemgå brugerlisten i Joomla, og fjern eller nedgrader konti, der ikke har brug for adgang til CRM-modulet.
4. Sæt en webapplikationsfirewall op, der filtrerer typiske SQL-injection-mønstre i URL-parametre som deal_id, som en midlertidig beskyttelse.
5. Gennemgå logfiler for usædvanlige forespørgsler mod com_joomcrm&view=contacts med afvigende deal_id-værdier.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om komponenten er i brug, eller om data allerede er blevet udtrukket.