vBulletin веб-форумдарын түзүү үчүн кыймылдаткычтагы оңдолбогон критикалык аялуу (кошулган)

Ачылган веб-форумдарды түзүү үчүн проприетардык кыймылдаткычтагы оңдолбогон (0 күндүк) критикалык аялуу (CVE-2019-16759) жөнүндө маалымат кыргыз тилибизди сактайлы, бул атайын иштелип чыккан POST суроо-талапты жөнөтүү аркылуу серверде кодду аткарууга мүмкүндүк берет. Көйгөй үчүн жумушчу эксплуатация бар. vBulletin көптөгөн ачык долбоорлордо, анын ичинде ушул кыймылдаткычка негизделген форумдарда колдонулат. Ubuntu, openSUSE, BSD системалары и Slackware.

Алсыздык "ajax/render/widget_php" иштеткичинде бар, ал ыктыярдуу кабык кодун "widgetConfig[code]" параметри аркылуу өткөрүүгө мүмкүндүк берет (ишке киргизүү коду жөн эле өтүп кетет, эч нерседен качуунун деле кереги жок) . Кол салуу форумдун аутентификациясын талап кылбайт. Көйгөй учурдагы vBulletin 5.x бутагынын (2012-жылдан бери иштелип чыккан) бардык чыгарылыштарында тастыкталды, анын ичинде эң акыркы 5.5.4. Оңдоо менен жаңыртуу али даярдала элек.

Кошумча 1: 5.5.2, 5.5.3 жана 5.5.4 версиялары үчүн бошотулду тактар. Эски 5.x релиздердин ээлерине адегенде системаларын эң акыркы колдоого алынган версияларга жаңыртуу сунушталат, бирок аны чечүү үчүн алат комментарий берүү файлдан evalCode функция кодундагы “eval($code)” чакырылышы/vb5/frontend/controller/bbcode.php.

2-тиркеме: Аялуу мурунтан эле активдүү колдонулат кол салуулар үчүн, спам жөнөтүүлөр и арткы эшиктерди таштап. Чабуулдун издерин http серверинин журналдарында “ajax/render/widget_php” сызыгына суроо-талаптардын болушу менен байкоого болот.

3-тиркеме: бетине чыкты эски чабуулдарда талкууланып жаткан проблеманы колдонуунун издери, сыягы, алсыздык үч жылдан бери колдонулуп келет; Мындан тышкары, жарыяланган Shodan кызматы аркылуу аялуу системаларды издөөдө массалык автоматташтырылган чабуулдарды жүргүзүү үчүн колдонула турган скрипт.

Source: opennet.ru