informace o neopravené (0denní) kritické zranitelnosti (CVE-2019-16759) v proprietárním enginu pro vytváření webových fór , který vám umožňuje spustit kód na serveru odesláním speciálně navrženého požadavku POST. Pro problém je k dispozici funkční exploit. vBulletin používá mnoho otevřených projektů, včetně fór založených na tomto enginu. , , и .
Chyba je přítomna v obslužné rutině „ajax/render/widget_php“, která umožňuje předat libovolný shell kód přes parametr „widgetConfig[code]“ (spouštěcí kód se jednoduše předá, nemusíte ani nic escapovat) . Útok nevyžaduje ověření na fóru. Problém byl potvrzen ve všech vydáních aktuální větve vBulletin 5.x (vyvíjené od roku 2012), včetně nejnovější verze 5.5.4. Aktualizace s opravou zatím není připravena.
Dodatek 1: Pro verze 5.5.2, 5.5.3 a 5.5.4 náplasti. Vlastníkům starších vydání 5.x se doporučuje, aby nejprve aktualizovali své systémy na nejnovější podporované verze, aby chybu zabezpečení odstranili, ale jako řešení volání „eval($code)“ v kódu funkce evalCode ze souboru include/vb5/frontend/controller/bbcode.php.
Dodatek 2: Chyba zabezpečení je již aktivní za útoky, и . Stopy útoku lze pozorovat v protokolech http serveru podle přítomnosti požadavků na řádek „ajax/render/widget_php“.
Dodatek 3: stopy po použití diskutovaného problému ve starých útocích, zranitelnost je zjevně využívána již asi tři roky. Kromě, skript, který lze použít k provádění hromadných automatizovaných útoků vyhledávajících zranitelné systémy prostřednictvím služby Shodan.
Zdroj: opennet.ru