Nelabota kritiskā ievainojamība tīmekļa forumu izveides programmā vBulletin (pievienota)

Atklāts informācija par nelabotu (0 dienu) kritisko ievainojamību (CVE-2019-16759) patentētā tīmekļa forumu izveides dzinējā vBulletin, kas ļauj izpildīt kodu serverī, nosūtot īpaši izstrādātu POST pieprasījumu. Problēmai ir pieejams darba līdzeklis. vBulletin izmanto daudzi atvērti projekti, tostarp forumi, kuru pamatā ir šī programma. Ubuntu, openSUSE, BSD sistēmas и Slackware.

Ievainojamība ir apdarinātājā “ajax/render/widget_php”, kas ļauj pārsūtīt patvaļīgu čaulas kodu caur parametru “widgetConfig[code]” (palaišanas kods tiek vienkārši nodots, jums pat nekas nav jāizvairās). . Uzbrukumam nav nepieciešama foruma autentifikācija. Problēma ir apstiprināta visos pašreizējā vBulletin 5.x atzara (izstrādāta kopš 2012. gada) laidieniem, tostarp jaunākajā versijā 5.5.4. Atjauninājums ar labojumu vēl nav sagatavots.

1. papildinājums: versijām 5.5.2, 5.5.3 un 5.5.4 atbrīvots ielāpus. Vecāku 5.x laidienu īpašniekiem ir ieteicams vispirms atjaunināt savas sistēmas uz jaunākajām atbalstītajām versijām, lai novērstu ievainojamību, taču kā risinājumu viens var komentēt izsaucot “eval($code)” evalCode funkcijas kodā no faila include/vb5/frontend/controller/bbcode.php.

2. papildinājums: ievainojamība jau ir aktīva piemēro uzbrukumiem, surogātpasta vēstules и atstājot aizmugures durvis. Uzbrukuma pēdas var novērot http servera žurnālos, ja ir pieprasījumi rindai “ajax/render/widget_php”.

3. papildinājums: parādījās virspusē apspriežamās problēmas izmantošanas pēdas vecos uzbrukumos; acīmredzot ievainojamība jau ir izmantota apmēram trīs gadus. Turklāt, publicēta skripts, ko var izmantot, lai veiktu masveida automatizētus uzbrukumus, meklējot neaizsargātas sistēmas, izmantojot pakalpojumu Shodan.

Avots: opennet.ru