Неизправена критична уязвимост в движка за създаване на уеб форуми vBulletin (допълнено)

Разкрито информация за непоправена (0-day) критична уязвимост (CVE-2019-16759) в собственик механизъм за създаване на web-форуми vBulletin, позволяваща изпълнение на код на сървъра чрез изпращане на специално форматирано POST-заявка. За проблема е наличен работещ експлойт. vBulletin се използва от много отворени проекти, включително форуми на базата на този механизъм Ubuntu, openSUSE, BSD-системи и Slackware.

Уязвимостта присъства в обработчика „ajax/render/widget_php“, който допуска предаване на произволен shell-код чрез параметъра „widgetConfig[code]“ (просто се предава код за изпълнение, дори не е необходимо нищо да се екранира). Поради атаката не е необходимо удостоверяване в форума. Проблемът е потвърден във всички версии на актуалната гама vBulletin 5.x (развива се от 2012 година), включително най-новото издание 5.5.4. Актуализация с поправка все още не е подготвена.

Допълнение 1: За версиите 5.5.2, 5.5.3 и 5.5.4 са пуснати патчи. На притежателите на по-стари версии 5.x е препоръчано първо да актуализират системите си до актуално поддържани версии, но като обходен начин за защита може да се намери коментирайте повикването на „eval($code)“ в кода на функцията evalCode от файла includes/vb5/frontend/controller/bbcode.php.

Допълнение 2: Уязвимостта вече активно се прилага за атаки, разпространение на спам и оставяне на backdoors. Следи от атаките могат да се наблюдават в логовете на http-сървера по присъствието на заявки с низ „ajax/render/widget_php“.

Допълнение 3: Излязоха наяве следи от използването на обсъжданата уязвимост в стари атаки, изглежда, че уязвимостта вече се експлоатира около три години. Освен това, публикуван скрипт, който може да се използва за извършване на масови автоматизирани атаки за търсене на уязвими системи чрез услугата Shodan.

Източник: opennet.ru