Kerentanan kritis yang belum diperbaiki pada mesin untuk membuat forum web vBulletin (ditambahkan)

Terungkap informasi tentang kerentanan kritis (0 hari) yang tidak diperbaiki (CVE-2019-16759) di mesin berpemilik untuk membuat forum web vBulletin, yang memungkinkan Anda mengeksekusi kode di server dengan mengirimkan permintaan POST yang dirancang khusus. Eksploitasi yang berfungsi tersedia untuk masalah ini. vBulletin digunakan oleh banyak proyek terbuka, termasuk forum yang berbasis pada mesin ini. Ubuntu, openSUSE, sistem BSD и Slackware.

Kerentanan terdapat pada handler “ajax/render/widget_php”, yang memungkinkan kode shell arbitrer dilewatkan melalui parameter “widgetConfig[code]” (kode peluncuran hanya diteruskan, Anda bahkan tidak perlu keluar dari apa pun) . Serangan ini tidak memerlukan otentikasi forum. Masalah ini telah dikonfirmasi di semua rilis cabang vBulletin 5.x saat ini (dikembangkan sejak 2012), termasuk rilis terbaru 5.5.4. Pembaruan dengan perbaikan belum disiapkan.

Tambahan 1: Untuk versi 5.5.2, 5.5.3 dan 5.5.4 diterbitkan tambalan. Pemilik rilis 5.x yang lebih lama disarankan untuk terlebih dahulu memperbarui sistem mereka ke versi terbaru yang didukung untuk menghilangkan kerentanan, tetapi sebagai solusinya satu bisa berkomentar memanggil “eval($code)” dalam kode fungsi evalCode dari file include/vb5/frontend/controller/bbcode.php.

Tambahan 2: Kerentanan sudah aktif terapan untuk serangan, surat spam и meninggalkan pintu belakang. Jejak serangan dapat diamati di log server http dengan adanya permintaan pada baris “ajax/render/widget_php”.

Tambahan 3: muncul ke permukaan jejak penggunaan masalah yang sedang dibahas dalam serangan lama; tampaknya, kerentanan tersebut telah dieksploitasi selama sekitar tiga tahun. Di samping itu, diterbitkan sebuah skrip yang dapat digunakan untuk melakukan serangan otomatis massal yang mencari sistem yang rentan melalui layanan Shodan.

Sumber: opennet.ru