CVE-2024-58385: Kritisk SQL-fejl i Yonyou U8 CRM
Kritisk SQL-indsprøjtning i Yonyou U8 CRM udnyttes aktivt uden login. Luk adgangen til det sårbare endepunkt nu.
Hvad er det?
CVE-2024-58385 er en kritisk sikkerhedsfejl i Yonyou U8 CRM, et kinesisk ERP- og CRM-system, der bruges af virksomheder med aktiviteter i eller samarbejde med Kina. Fejlen er en SQL-indsprøjtning (SQL injection), hvor en angriber kan indsætte skadelig databasekode i konfigurationsendepunktet fillbacksettingedit.php. Ved at sætte parameteren DontCheckLogin=1 kan angriberen omgå login helt, og parameteren id sendes direkte til databasen uden at blive renset for skadelig kode. Kører systemet på Microsoft SQL Server med funktionen xp_cmdshell aktiveret, kan angriberen også skrive filer til serveren og køre kommandoer i styresystemet, altså opnå fuld kontrol over serveren.
Hvem rammer det?
Sårbarheden rammer virksomheder, der har installeret Yonyou U8 CRM, typisk danske virksomheder med datterselskaber, leverandører eller salgskontorer i Kina, hvor systemet bruges til kunde- og salgsstyring. Det er specifikt konfigurationsendepunktet fillbacksettingedit.php, der er sårbart, og risikoen er størst, hvis systemet kører med Microsoft SQL Server som database og har funktionen xp_cmdshell aktiveret, hvilket giver adgang til styresystemet.
Hvad kan ske?
En angriber kan uden login læse, ændre eller slette alt data i CRM-databasen, herunder kundeoplysninger, kontrakter og salgsdata. På servere med xp_cmdshell aktiveret kan angriberen gå videre og placere en bagdør på serveren samt køre vilkårlige kommandoer, hvilket kan give fuld kontrol over serveren og adgang til det øvrige netværk. For en dansk virksomhed betyder det risiko for datatab, driftsstop og at serveren bruges som springbræt til resten af it-miljøet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket. Shadowserver Foundation har observeret aktiv udnyttelse af sårbarheden i praksis fra den 13. februar 2025, så det er ikke kun en teoretisk risiko.
Hvad gør jeg nu?
Da der ikke er en officiel opdatering fra leverandøren oplyst, handler det først om at lukke adgangen til det sårbare endepunkt.
- Bloker eller begræns adgang til fillbacksettingedit.php via firewall eller webserverkonfiguration, så kun betroede interne systemer kan tilgå det.
- Deaktiver funktionen xp_cmdshell på den bagvedliggende Microsoft SQL Server, hvis den ikke er nødvendig for driften.
- Gennemgå logfiler for tegn på tidligere angreb, herunder ukendte filer på serveren eller mistænkelige databasekald med DontCheckLogin=1.
- Kontakt Yonyou eller jeres it-leverandør for at få bekræftet, om der findes en opdatering eller officiel rettelse.
- Isoler serveren fra internettet, indtil adgangen er lukket ned og logfiler er gennemgået.
- Find I tegn på kompromittering, eller kan I ikke selv gennemgå logfiler og konfiguration, bør I hente ekstern hjælp til undersøgelse og oprydning.
Luk adgangen inden for 24 timer
Vi anbefaler, at I lukker adgangen til det sårbare endepunkt og deaktiverer xp_cmdshell så hurtigt som muligt, da sårbarheden allerede udnyttes aktivt. Det er ikke forsvarligt at vente, hvis serveren er tilgængelig fra internettet. Har I ikke selv kompetencerne til at gennemgå logfiler for tegn på kompromittering, bør I hente hjælp udefra med det samme.
Tidslinje
Konkrete eksempler
Dansk produktionsvirksomhed med kinesisk salgskontor
En dansk produktionsvirksomhed med et salgskontor i Kina bruger Yonyou U8 CRM til at holde styr på kinesiske kunder og ordrer. Systemet er tilgængeligt fra internettet, så salgsmedarbejdere kan logge på hjemmefra. En angriber finder det sårbare endepunkt, omgår login med DontCheckLogin=1 og trækker hele kundedatabasen ud, herunder kontaktoplysninger og prisaftaler. Fordi databasen kører med xp_cmdshell aktiveret, lægger angriberen også en bagdør på serveren, som senere bruges til at forsøge at komme videre ind i det danske hovedkontors netværk.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I bruger Yonyou U8 CRM, og systemet er tilgængeligt fra internettet eller fra et netværk, en angriber kan nå. Tjek om jeres installation bruger fillbacksettingedit.php, og om databasen kører på Microsoft SQL Server med xp_cmdshell aktiveret.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden udnyttes allerede aktivt, og angrebet kræver ikke login. Vi anbefaler at lukke adgangen til det sårbare endepunkt samme dag, I bliver opmærksomme på problemet.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå webserverens logfiler for forespørgsler til fillbacksettingedit.php med parameteren DontCheckLogin=1. Tjek også databaseserveren for ukendte filer eller uventede ændringer, hvis xp_cmdshell har været aktiveret.
Skal vi anmelde dette til myndighederne?
Finder I tegn på, at data er blevet stjålet eller ændret, og det involverer personoplysninger, skal I vurdere, om det udløser anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller os for en konkret vurdering.
Findes der en opdatering fra Yonyou?
Der er ikke oplyst en officiel opdatering i de tilgængelige data. Kontakt Yonyou eller jeres it-leverandør for at få den nyeste status, og brug i mellemtiden adgangsbegrænsning som midlertidig løsning.
Hvad er xp_cmdshell, og hvorfor er det et problem?
xp_cmdshell er en funktion i Microsoft SQL Server, der lader databasen køre kommandoer direkte i styresystemet. Er funktionen aktiveret, kan en angriber, der har fået adgang til databasen via SQL-indsprøjtning, også få kontrol over selve serveren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Yonyou U8 CRM contains an unauthenticated SQL injection vulnerability in the fillbacksettingedit.php configuration endpoint where the DontCheckLogin=1 parameter bypasses authentication and the id parameter is incorporated into SQL queries without sanitization. Attackers can exploit this flaw to execute arbitrary SQL commands and, on Microsoft SQL Server deployments with xp_cmdshell enabled, write backdoor files and execute arbitrary operating system commands. Exploitation evidence was first observed by the Shadowserver Foundation on 2025-02-13.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.