oplysninger om en ukorrigeret (0-dages) kritisk sårbarhed (CVE-2019-16759) i en proprietær motor til oprettelse af webfora , som giver dig mulighed for at udføre kode på serveren ved at sende en specialdesignet POST-anmodning. En fungerende udnyttelse er tilgængelig for problemet. vBulletin bruges af mange åbne projekter, herunder fora baseret på denne motor. , , и .
Sårbarheden er til stede i "ajax/render/widget_php"-handleren, som gør det muligt at sende vilkårlig shell-kode gennem parameteren "widgetConfig[code]" (lanceringskoden sendes simpelthen, du behøver ikke engang at undslippe noget) . Angrebet kræver ikke forumgodkendelse. Problemet er blevet bekræftet i alle udgivelser af den nuværende vBulletin 5.x-gren (udviklet siden 2012), inklusive den seneste udgivelse 5.5.4. En opdatering med en rettelse er endnu ikke udarbejdet.
Tilføjelse 1: For version 5.5.2, 5.5.3 og 5.5.4 plastre. Ejere af ældre 5.x-udgivelser rådes til først at opdatere deres systemer til de seneste understøttede versioner for at eliminere sårbarheden, men som en løsning kalder "eval($code)" i evalCode-funktionskoden fra filen include/vb5/frontend/controller/bbcode.php.
Tillæg 2: Sårbarheden er allerede aktiv for angreb, и . Spor af angrebet kan observeres i http-serverlogfilerne ved tilstedeværelsen af anmodninger om linjen "ajax/render/widget_php".
Tillæg 3: spor af brugen af problemet under diskussion i gamle angreb; tilsyneladende har sårbarheden allerede været udnyttet i omkring tre år. Udover, et script, der kan bruges til at udføre automatiserede masseangreb, der søger efter sårbare systemer gennem Shodan-tjenesten.
Kilde: opennet.ru