CVE-2023-54400: Kritisk SQL-fejl i Fumasoft Fumeng Cloud
Kritisk SQL-indsprøjtningsfejl i Fumasoft Fumeng Cloud gør det muligt at stjæle og ændre data uden login. Bloker adgang til endpointet i dag.
Hvad er det?
CVE-2023-54400 er en SQL-indsprøjtningssårbarhed (SQL injection, hvor angriberen sniger egne databasekommandoer ind gennem et inputfelt) i cloudsystemet Fumasoft Fumeng Cloud. Fejlen sidder i endpointet AjaxMethod.ashx, i handlingen getEmpByname, hvor parameteren Name sendes videre til databasen uden at blive renset for skadelig kode. En angriber kan bruge såkaldt UNION-baseret SQL-indsprøjtning til at trække data ud af den bagvedliggende Microsoft SQL Server, ændre den eller i værste fald få adgang til selve serveren. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres direkte over internettet.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Fumasoft Fumeng Cloud, et cloudbaseret personale- og medarbejdersystem, hvor endpointet AjaxMethod.ashx er tilgængeligt fra internettet. Det gælder typisk virksomheder og kommuner, der har outsourcet HR- eller personaledata til dette system, eller som har det integreret i egen infrastruktur bag en firewall, der tillader indgående adgang til systemet.
Hvad kan ske?
En angriber kan uden login læse hele databasens indhold, herunder medarbejderoplysninger som navne, cpr-numre og lønforhold. Data kan også ændres eller slettes, og i visse tilfælde kan angrebet bruges som springbræt til yderligere adgang til den server, databasen kører på. For en dansk virksomhed betyder det risiko for brud på persondatasikkerheden, tab af tillid hos medarbejdere og potentiel anmeldelsespligt efter databeskyttelsesreglerne.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), ingen brugerhandling (UI:N), og det kan udføres over netværket med lav kompleksitet (AV:N, AC:L). Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning. Shadowserver Foundation har observeret aktiv udnyttelse af sårbarheden, så det er ikke en teoretisk risiko.
Hvad gør jeg nu?
Følg punkterne i rækkefølge for at lukke hullet hurtigst muligt:
- Undersøg om jeres organisation bruger Fumasoft Fumeng Cloud, og om endpointet AjaxMethod.ashx er tilgængeligt fra internettet.
- Bloker eller begræns adgang til endpointet via firewall eller reverse proxy, indtil en løsning er på plads.
- Kontakt leverandøren af Fumeng Cloud for at høre, om der findes en opdatering, der lukker sårbarheden.
- Gennemgå webserver- og databaselogs for tegn på forsøg mod getEmpByname-handlingen, især forespørgsler med usædvanlige tegn i Name-parameteren.
- Skift adgangskoder til databasen og gennemgå indholdet for uautoriserede ændringer, hvis I finder tegn på misbrug.
- Hent hjælp udefra, hvis I ikke selv kan vurdere, om endpointet er eksponeret, eller hvis I finder spor efter udnyttelse.
Bloker adgang til endpointet i dag
Vi anbefaler, at I straks blokerer adgang til AjaxMethod.ashx fra internettet, hvis systemet er eksponeret, da der ikke er offentliggjort en opdatering fra leverandøren. Det er ikke forsvarligt at vente, da sårbarheden allerede er set udnyttet aktivt. Hvis I ikke bruger Fumasoft Fumeng Cloud, kan I se bort fra denne sårbarhed, men vi anbefaler at dokumentere det som en del af jeres systemoversigt.
Tidslinje
Konkrete eksempler
HR-system i en dansk kommune
En kommune bruger Fumeng Cloud til at håndtere medarbejderdata og har systemet tilgængeligt via internettet for eksterne konsulenter. En angriber finder AjaxMethod.ashx-endpointet, sender en SQL-indsprøjtning gennem Name-parameteren og trækker medarbejderlisten med cpr-numre ud af databasen uden at logge ind noget sted.
Ofte stillede spørgsmål
Hvordan ved vi, om vi er ramt?
Tjek om jeres organisation eller en samarbejdspartner bruger Fumasoft Fumeng Cloud, og om endpointet AjaxMethod.ashx kan tilgås fra internettet. Gennemgå webserverlogs for forespørgsler mod getEmpByname med usædvanlige tegn i Name-parameteren.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden er allerede set udnyttet aktivt, og angrebet kræver hverken login eller brugerhandling. Bloker adgangen til endpointet nu, og vent med resten af oprydningen til I har tid.
Findes der en opdatering, der lukker hullet?
Der er ikke offentliggjort en officiel patch på tidspunktet for denne beskrivelse. Kontakt leverandøren for status, og brug i mellemtiden firewall-blokering som midlertidig løsning.
Skal vi anmelde noget, hvis vi finder tegn på misbrug?
Hvis I finder tegn på, at persondata er blevet tilgået eller ændret uautoriseret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen inden for 72 timer og kontakte Datatilsynet ved behov.
Kan vi selv fjerne risikoen uden at kontakte leverandøren?
Delvist. I kan begrænse eksponeringen ved at blokere ekstern adgang til endpointet, men den grundlæggende fejl i koden kan kun rettes af leverandøren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Fumasoft Fumeng Cloud contains a SQL injection vulnerability in the AjaxMethod.ashx endpoint that allows unauthenticated remote attackers to inject arbitrary SQL through the Name parameter of the getEmpByname action without any authentication. Attackers can exploit UNION-based SQL injection techniques against the Microsoft SQL Server backend to extract, disclose, and modify database contents, with potential for further compromise of the underlying server. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.