información sobre unha vulnerabilidade crítica non corrixida (0 días) (CVE-2019-16759) nun motor propietario para crear foros web , que lle permite executar código no servidor enviando unha solicitude POST deseñada especialmente. Hai un exploit operativo dispoñible para o problema. vBulletin é usado por moitos proxectos abertos, incluíndo foros baseados neste motor. , , и .
A vulnerabilidade está presente no manejador "ajax/render/widget_php", que permite pasar código de shell arbitrario a través do parámetro "widgetConfig[code]" (o código de inicio simplemente pásase, nin sequera precisa escapar de nada) . O ataque non require autenticación do foro. O problema confirmouse en todas as versións da rama actual de vBulletin 5.x (desenvolvida desde 2012), incluída a versión máis recente 5.5.4. Aínda non se preparou unha actualización cunha corrección.
Adición 1: para as versións 5.5.2, 5.5.3 e 5.5.4 parches. Recoméndase aos propietarios de versións 5.x máis antigas que actualicen primeiro os seus sistemas ás versións compatibles máis recentes para eliminar a vulnerabilidade, pero como unha solución alternativa. chamando "eval($code)" no código da función evalCode do ficheiro includes/vb5/frontend/controller/bbcode.php.
Anexo 2: a vulnerabilidade xa está activa para ataques, и . Os rastros do ataque pódense observar nos rexistros do servidor http pola presenza de solicitudes para a liña "ajax/render/widget_php".
Anexo 3: rastros do uso do problema en discusión en ataques antigos; ao parecer, a vulnerabilidade xa leva uns tres anos explotada. Ademais, un script que se pode utilizar para realizar ataques automatizados masivos buscando sistemas vulnerables a través do servizo Shodan.
Fonte: opennet.ru