informoj pri nekorektita (0-taga) kritika vundebleco (CVE-2019-16759) en proprieta motoro por krei retforumojn , kiu ebligas al vi ekzekuti kodon en la servilo sendante speciale desegnitan POST-peton. Labora ekspluato disponeblas por la problemo. vBulletin estas uzata de multaj malfermitaj projektoj, inkluzive de forumoj bazitaj sur ĉi tiu motoro. , , и .
La vundebleco ĉeestas en la pritraktilo "ajax/render/widget_php", kiu permesas arbitran ŝelkodon trapasi la parametron "widgetConfig[code]" (la lanĉkodo estas simple pasita, vi eĉ ne bezonas eskapi ion ajn) . La atako ne postulas foruman aŭtentikigon. La problemo estis konfirmita en ĉiuj eldonoj de la nuna vBulletin 5.x branĉo (evoluinta ekde 2012), inkluzive de la plej lastatempa eldono 5.5.4. Ĝisdatigo kun riparo ankoraŭ ne estas preparita.
Aldono 1: Por versioj 5.5.2, 5.5.3 kaj 5.5.4 flikiloj. Posedantoj de pli malnovaj eldonoj 5.x konsilas unue ĝisdatigi siajn sistemojn al la plej novaj subtenataj versioj por forigi la vundeblecon, sed kiel solvo. vokante "eval($kodo)" en la funkcio evalCode de la dosiero includes/vb5/frontend/controller/bbcode.php.
Aldono 2: Vulnerebleco jam aktivas por atakoj, и . Spuroj de la atako povas esti observitaj en la http-servilaj protokoloj per la ĉeesto de petoj por la linio "ajax/render/widget_php".
Aldono 3: spuroj de la uzo de la problemo pridiskutata en malnovaj atakoj; ŝajne, la vundebleco jam estas ekspluatata de ĉirkaŭ tri jaroj. Cetere, skripto, kiu povas esti uzata por fari amasajn aŭtomatigitajn atakojn serĉantajn vundeblajn sistemojn per la servo Shodan.
fonto: opennet.ru