CVE-2019-25762: Datalæk i Joomla-udvidelsen JoomProject
JoomProject 1.1.3.2 til Joomla lækker navne og e-mails uden login. Fjern udvidelsen eller afskærm adgangen til endpointet.
Hvad er det?
CVE-2019-25762 er en sårbarhed i Joomla!-udvidelsen JoomProject version 1.1.3.2. Fejlen gør det muligt for angribere uden login at sende en forespørgsel til projects-endpointet og få svar i JSON-format, et tekstbaseret dataformat som websider bruger til at udveksle oplysninger. Svaret indeholder bruger-id’er, navne og e-mailadresser på virksomhedens registrerede brugere. Sårbarheden hører til kategorien CWE-359, som betyder at personlige oplysninger bliver eksponeret til uautoriserede parter uden nogen adgangskontrol.
Hvem rammer det?
Det rammer virksomheder, foreninger og kommuner, der kører Joomla! med udvidelsen JoomProject i version 1.1.3.2. Udvidelsen bruges typisk til at vise og administrere projekter på en hjemmeside. Risikoen gælder alle installationer, hvor komponentens projects-visning er tilgængelig for offentligheden uden yderligere adgangsbegrænsning.
Hvad kan ske?
En angriber kan indsamle navne og e-mailadresser på alle registrerede brugere uden at logge ind, og uden at det efterlader tydelige spor. Oplysningerne kan bruges til målrettede phishing-forsøg mod medarbejdere eller medlemmer, eller sælges videre. For en dansk virksomhed eller forening kan et sådant datalæk også udløse en anmeldelsespligt til Datatilsynet, hvis det vurderes at være et brud på persondatasikkerheden efter GDPR.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, kategoriseret som alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, kun en enkel forespørgsel over netværket. Det gør angrebet nemt at automatisere og udføre i stor skala. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes i angreb, men angrebsmetoden er beskrevet så konkret i offentlige kilder, at den kan gentages uden større teknisk indsats.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Undersøg om jeres Joomla-installation bruger udvidelsen JoomProject, og om versionen er 1.1.3.2 eller ældre.
- Deaktiver eller afinstaller udvidelsen, hvis den ikke er i aktiv brug på jeres hjemmeside.
- Bloker adgang til endpointet index.php?option=com_jpprojects&view=projects via webserverens konfiguration eller en firewall, hvis udvidelsen skal forblive aktiv.
- Kontakt udvikleren af JoomProject for at høre, om der findes en opdateret version, der lukker sårbarheden.
- Gennemgå webserverens logs for at se, om endpointet allerede er blevet forespurgt fra uautoriserede kilder.
- Få hjælp udefra, hvis I ikke selv kan vurdere omfanget eller finde en sikker langsigtet løsning. Her kan Auroa hjælpe.
Luk adgang til endpointet inden få dage
Vi anbefaler, at I straks undersøger, om jeres hjemmeside bruger JoomProject, og om versionen er sårbar. Er udvidelsen ikke i aktiv brug, bør I fjerne den helt. Er den nødvendig, bør adgangen til det sårbare endpoint blokeres, til der findes en opdateret version. Det er ikke forsvarligt at vente, da angrebsmetoden er enkel og allerede offentligt beskrevet.
Tidslinje
Konkrete eksempler
Forening med medlemsprojekter på Joomla
En dansk forening bruger Joomla med JoomProject til at vise medlemsprojekter på hjemmesiden. En udenforstående sender en simpel forespørgsel til projects-endpointet og modtager en liste med navne og e-mailadresser på alle registrerede medlemmer. Oplysningerne bruges efterfølgende til at sende målrettede phishing-mails til medlemmerne, hvor afsenderen udgiver sig for at være foreningens bestyrelse.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Gå ind i Joomla-administratoren og se under udvidelser (Extensions), om JoomProject er installeret, og hvilken version der kører. Er versionen 1.1.3.2 eller ældre, er I sandsynligvis sårbare.
Kan vi vente til efter weekenden med at lukke hullet?
Det bør I ikke. Angrebet kræver ingen login og kan udføres med en enkelt forespørgsel, så tidsvinduet for misbrug er kort. Blokering af endpointet kan gøres på under en time.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at oplysninger faktisk er blevet hentet af en uautoriseret part, skal I vurdere, om det er et brud på persondatasikkerheden efter GDPR, og i så fald anmelde det inden for 72 timer.
Findes der en opdateret version af JoomProject?
Der er ikke offentligt oplyst en fast dato for en rettet version. Kontakt udvikleren af udvidelsen direkte for at få den nyeste status, og betragt indtil da udvidelsen som sårbar.
Hvordan blokerer vi adgangen uden at fjerne udvidelsen helt?
I kan tilføje en regel i webserverens konfiguration eller en firewall, der afviser forespørgsler med option=com_jpprojects&view=projects, mens I afventer en officiel rettelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component JoomProject 1.1.3.2 contains an information disclosure vulnerability that allows unauthenticated attackers to access sensitive user data by exploiting the projects endpoint. Attackers can send requests to index.php with option=com_jpprojects&view=projects&tmpl=component&format=json parameters to retrieve user IDs, names, and email addresses in JSON format.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.