Vulnerabilità critica non corretta nel motore per la creazione di forum web vBulletin (aggiornato)

Rivelata informazioni su una vulnerabilità critica (0-day) non corretta (CVE-2019-16759) nel motore proprietario per la creazione di forum web vBulletin, che consente l'esecuzione di codice sul server attraverso l'invio di una richiesta POST appositamente formattata. È disponibile un exploit funzionante per il problema. vBulletin è utilizzato da molti progetti open source, tra cui i forum basati su questo motore Ubuntu, openSUSE, sistemi BSD e Slackware.

La vulnerabilità è presente nel gestore "ajax/render/widget_php", che consente l'invio di codice shell arbitrario tramite il parametro "widgetConfig[code]" (basta inviare il codice da eseguire, non è necessario nemmeno eseguire l'escaping). Non è richiesta alcuna autenticazione nel forum per l'attacco. Il problema è stato confermato in tutte le versioni attuali della linea vBulletin 5.x (sviluppata dal 2012), compresa l'ultima versione 5.5.4. Non è ancora stato preparato un aggiornamento con una correzione.

Supplemento 1: Per le versioni 5.5.2, 5.5.3 e 5.5.4 rilasciate patch. Si consiglia agli utenti di versioni precedenti 5.x di aggiornare prima i propri sistemi alle versioni supportate più recenti, ma come soluzione temporanea è possibile commentare вызов «eval($code)» в коде функции evalCode из файла includes/vb5/frontend/controller/bbcode.php.

Дополнение 2: Уязвимость уже активно applicato для атак, рассылки спама e оставления бэкдоров. Следы атаки можно наблюдать в логах http-сервера по присутствию запросах строки «ajax/render/widget_php».

Дополнение 3: Всплыли следы использования обсуждаемой проблемы в старых атаках, судя по всему, уязвимость уже эксплуатируется около трёх лет. Кроме того, pubblicato скрипт, который можно использовать для совершения массовых автоматизированных атак с поиском уязвимых систем через сервис Shodan.

Fonte: opennet.ru