CVE-2023-54357: Joomla com_booking lækker kundedata

Com_booking er et tilføjelsesprogram (en såkaldt komponent) til hjemmesidesystemet Joomla, som bruges til at håndtere bookinger og reservationer. I version 2.4.9 er der en fejl, der gør det muligt for en angriber at hente personoplysninger om dine kunder — uden at være logget ind. Fejlen sidder i en funktion kaldet getUserData, som fejlagtigt svarer forskelligt afhængigt af, om en bruger-ID eksisterer eller ej. Det betyder, at en angriber systematisk kan prøve ID-numre ét efter ét og på den måde kortlægge hele din kundedatabase med navne, brugernavne og e-mailadresser. Fejltypen kaldes CWE-203 (observable response discrepancy — altså en målbar forskel i svar).

Sårbarheden rammer dig, hvis du driver en Joomla-hjemmeside med com_booking-komponenten i version 2.4.9 installeret og aktiveret. Det er typisk virksomheder inden for hotel, klinik, restaurant, udlejning eller andre brancher, der bruger Joomla til online booking. Der kræves ingen login eller særlige rettigheder for at udnytte fejlen — alle, der kan tilgå din hjemmeside, kan potentielt misbruge den.

En angriber kan automatisk trække navne, brugernavne og e-mailadresser ud på dine registrerede kunder. Disse oplysninger kan efterfølgende bruges til:

• Målrettede phishing-angreb mod dine kunder i dit navn
• Spam- og markedsføringskampagner uden samtykke
• Forsøg på at overtage kundekonti ved at kombinere de fundne brugernavne med kendte adgangskoder (credential stuffing)
• Brud på GDPR, hvis personoplysninger lækkes — med potentiel bødepålæggelse og anmeldelsespligt til Datatilsynet til følge

Sårbarheden er vurderet til 7.5 ud af 10 (Alvorlig) på den internationale CVSS-skala. Den er særligt bekymrende, fordi den kræver ingen teknisk viden, intet login og ingen brugerinteraktion — angriberen behøver blot at sende simple forespørgsler til din hjemmeside. Kun fortrolighed (C=HIGH) er påvirket: der slettes eller ændres ikke data, men eksponeringen af personoplysninger er alvorlig nok i sig selv, særligt i lyset af GDPR-kravene om beskyttelse af kundedata.

Følg disse trin hurtigst muligt for at beskytte dine kunder og din virksomhed:

1. Tjek om du er berørt: Log ind på dit Joomla-backend og gå til Udvidelser → Administrer. Find com_booking og kontrollér versionsnummeret. Er det 2.4.9, er du berørt.
2. Opdatér komponenten: Undersøg om leverandøren af com_booking har udgivet en opdateret version, og installér den straks via Joomla’s opdateringsmanager.
3. Midlertidig afhjælpning: Hvis ingen opdatering er tilgængelig, overvej at deaktivere komponenten midlertidigt, eller bloker adgang til den sårbare URL-sti (index.php?option=com_booking&controller=customer&task=getUserData) via din webservers firewall eller .htaccess-fil.
4. Gennemgå adgangslogge: Bed din webhost eller IT-ansvarlige om at gennemgå serverlogge for usædvanlige mængder af GET-forespørgsler mod den nævnte URL — det kan afsløre om nogen allerede har forsøgt at udnytte fejlen.
5. Vurdér GDPR-forpligtelse: Hvis du har grund til at tro, at kundedata allerede er blevet hentet, skal du overveje om du har pligt til at anmelde bruddet til Datatilsynet inden for 72 timer.
6. Informér berørte kunder: Hvis data er blevet kompromitteret, bør du orientere de berørte kunder om hændelsen og de risici, de kan blive udsat for.