CVE-2023-54399: Kritisk SQL-fejl i Hongjing e-HR

CVE-2023-54399 er en kritisk sårbarhed i HR-systemet Hongjing e-HR, der bruges til løn- og personaleadministration. Fejlen er en SQL-indsprøjtning, en teknik hvor en angriber putter skadelig databasekode ind i et inputfelt, så systemet udfører kommandoer, det ikke burde. Sårbarheden sidder i endpunktet /servlet/codesettree, hvor parameteren categories sendes videre til databasen uden at blive renset for skadelig kode. En angriber, der slet ikke behøver at være logget ind, kan sende en forespørgsel med et såkaldt UNION SELECT-udtryk og dermed hente alt indhold i databasen, herunder tabellen operuser med brugernavne og adgangskoder.

Sårbarheden rammer alle installationer af Hongjing e-HR i version før 8.2. Det gælder typisk HR- og lønafdelinger, ofte i virksomheder med asiatiske datterselskaber, leverandører eller søsterselskaber, som benytter systemet til personale- og lønadministration. Enhver server, hvor systemet er tilgængeligt fra internettet, er i risiko.

En angriber kan uden login læse alle data i HR-databasen, herunder CPR-numre, lønoplysninger, ansættelseskontrakter og adgangskoder til systemet. Adgangskoderne kan efterfølgende bruges til at logge ind som administrator eller genbruges til angreb mod andre systemer, hvis medarbejdere har genbrugt kodeord. For en dansk virksomhed betyder det risiko for brud på persondataforordningen, bøder og tab af tillid hos medarbejdere og kunder.

CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login (PR:N) og ingen brugerinteraktion (UI:N), og det kan udføres direkte over netværket (AV:N) uden teknisk kompleksitet (AC:L). Både fortrolighed, integritet og tilgængelighed af data er fuldt kompromitteret. Sårbarheden er ikke teoretisk: Shadowserver Foundation observerede aktiv udnyttelse allerede den 14. oktober 2023, længe før den blev offentliggjort i NVD.

Sårbarheden er alvorlig og aktivt udnyttet. Følg punkterne i nævnte rækkefølge.

1. Opdatér Hongjing e-HR til version 8.2 eller nyere, hvor sårbarheden er rettet.
2. Kan opdateringen ikke gennemføres med det samme, så bloker adgang til /servlet/codesettree fra internettet via firewall eller webapplikationsfirewall.
3. Gennemgå adgangslogfiler for usædvanlige forespørgsler mod codesettree-endpunktet, især med UNION SELECT i parameteren categories.
4. Skift alle adgangskoder i systemet, herunder administratorkonti i operuser-tabellen, da de kan være kompromitteret.
5. Vurdér om hændelsen udløser anmeldelsespligt til Datatilsynet, hvis persondata kan være læst af en uvedkommende.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om systemet allerede er kompromitteret, eller hvis I ikke har ressourcer til at gennemgå logfilerne.