CVE-2023-54357: Datalæk i Joomla com_booking 2.4.9
Fejl i Joomla-udvidelsen com_booking 2.4.9 lader angribere uden login hente navne, brugernavne og e-mails på alle kunder.
Hvad er det?
CVE-2023-54357 er en informationslækage i com_booking, en tredjepartsudvidelse til Joomla, der bruges til at håndtere online bookinger. Fejlen ligger i funktionen getUserData i kundecontrolleren. Ved at sende almindelige GET-forespørgsler til index.php med parametrene option=com_booking, controller=customer, task=getUserData og et id-nummer kan man hente en brugers navn, brugernavn og e-mailadresse. Fordi id-parameteren kan gennemgås systematisk fra 1 og opad, kan hele kundelisten trækkes ud uden at logge ind.
Hvem rammer det?
Det rammer virksomheder, foreninger og selvstændige, der driver en Joomla-hjemmeside med udvidelsen com_booking version 2.4.9 installeret, typisk til at tage imod tider til behandlinger, kurser eller andre ydelser. Det gælder for eksempel klinikker, salons, konsulentvirksomheder og foreninger, der har koblet et bookingmodul på deres Joomla-side.
Hvad kan ske?
En angriber kan trække en liste over alle kunder, der har booket via systemet, inklusive navn, brugernavn og e-mailadresse. Disse oplysninger kan bruges til målrettede phishing-mails, der udgiver sig for at komme fra virksomheden selv, eller til at afprøve genbrugte kodeord på andre tjenester. For virksomheden er der desuden en databeskyttelsesretlig side af sagen, fordi kundedata lækkes uden samtykke.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, alvorlig. Angrebet kræver ikke login, ikke en bruger, der klikker på noget, og kan udføres over internettet med almindelige webforespørgsler. Det påvirker kun fortroligheden af data, ikke selve systemets funktion eller data-integritet. Der er ikke rapporteret aktiv udnyttelse, men metoden er offentligt beskrevet i detaljer, så den kan bruges direkte af enhver, der finder en sårbar side.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, mens I venter på en opdatering:
- Undersøg om jeres Joomla-side bruger com_booking, og find versionsnummeret i administrationspanelet under Udvidelser.
- Opdatér til en nyere version af com_booking, hvis udvikleren har udgivet en rettelse, eller kontakt leverandøren for status.
- Blokér adgang til controller=customer og task=getUserData via jeres webserver eller en webapplikationsfirewall, indtil en opdatering er på plads.
- Overvej at deaktivere com_booking-komponenten, hvis bookingfunktionen ikke er kritisk for driften.
- Gennemgå webserverens logfiler for gentagne forespørgsler med id-parametre, der stiger fortløbende, det er et tegn på, at data allerede er trukket ud.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om komponenten er sårbar, eller hvis logfilerne viser tegn på misbrug.
Løs inden for en uge
Vi anbefaler, at I straks tjekker, om jeres Joomla-side bruger com_booking, og at I blokerer adgangen til den sårbare funktion, indtil en officiel opdatering findes. Det er ikke forsvarligt at vente til en rutinemæssig opdatering, fordi metoden allerede er offentligt beskrevet, og angrebet kræver hverken login eller teknisk snilde. Har I ikke selv ressourcer til at vurdere risikoen eller sætte en midlertidig blokering op, bør I hente hjælp udefra denne uge.
Tidslinje
Konkrete eksempler
Frisørsalon med Joomla-booking
En frisørsalon bruger Joomla med com_booking til at tage imod tidsbestillinger online. En angriber sender en serie forespørgsler med stigende id-numre og trækker navne og e-mailadresser på flere hundrede kunder. Listen bruges efterfølgende til en phishing-kampagne, hvor kunderne modtager falske betalingslinks, der ser ud til at komme fra salonen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger com_booking?
Log ind i Joomla-administrationen, gå til Udvidelser og Administrer, og søg efter com_booking i listen over installerede komponenter. Der vil også stå et versionsnummer, som I bør sammenholde med 2.4.9.
Kan vi vente til weekenden med at reagere?
Det er ikke ideelt. Metoden er offentligt beskrevet og kræver ingen login eller specialviden, så risikoen for misbrug er reel fra dagen sårbarheden bliver kendt. Blokér adgangen til den sårbare funktion så hurtigt som muligt, og gennemfør resten af opdateringen, når I har tid.
Er vores kundedata allerede lækket?
Det kan I kun afgøre ved at gennemgå webserverens logfiler for forespørgsler til index.php med option=com_booking, controller=customer og task=getUserData, især hvis id-parameteren stiger systematisk. Er I i tvivl om, hvordan I læser logfilerne, bør I få hjælp udefra.
Skal vi anmelde dette til Datatilsynet?
Hvis I kan konstatere, at kundedata som navne, brugernavne og e-mailadresser er blevet trukket ud af systemet, er der tale om en sikkerhedsbrist med persondata, som skal vurderes efter databeskyttelsesreglerne. Det gælder også, hvis I ikke kan udelukke det, fordi logfilerne ikke går langt tilbage.
Er der en officiel rettelse fra leverandøren?
Der er på offentliggørelsestidspunktet ikke oplyst en fikset version fra udvikleren af com_booking. Indtil en opdatering findes, er blokering af den sårbare funktion eller deaktivering af komponenten den eneste effektive løsning.
Rammer det andre Joomla-komponenter end com_booking?
Nej, sårbarheden er specifik for com_booking version 2.4.9 og funktionen getUserData i kundecontrolleren. Andre bookingmoduler eller Joomla selv er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla com_booking component 2.4.9 contains an information disclosure vulnerability that allows unauthenticated attackers to enumerate user accounts by exploiting the getUserData function in the customer controller. Attackers can send GET requests to index.php with option=com_booking, controller=customer, task=getUserData, and an id parameter to retrieve user names, usernames, and email addresses through brute force enumeration.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.