Athari kubwa isiyorekebishwa katika injini ya kuunda mabaraza ya wavuti vBulletin (imeongezwa)

Imefichuliwa habari kuhusu uwezekano wa hatari usiorekebishwa (0-siku) (CVE-2019-16759) katika injini inayomilikiwa ya kuunda mabaraza ya wavuti. vBulletin, ambayo hukuruhusu kutekeleza nambari kwenye seva kwa kutuma ombi maalum la POST. Unyonyaji wa kufanya kazi unapatikana kwa shida. vBulletin hutumiwa na miradi mingi ya wazi, ikiwa ni pamoja na vikao kulingana na injini hii. Ubuntu, Fungua, Mifumo ya BSD и Slackware.

Athari iko kwenye kidhibiti cha “ajax/render/widget_php”, ambacho huruhusu msimbo kiholela kupitishwa kupitia kigezo cha “widgetConfig[code]” (msimbo wa uzinduzi unapitishwa kwa urahisi, huhitaji hata kutoroka chochote) . Shambulio hilo halihitaji uthibitishaji wa jukwaa. Tatizo limethibitishwa katika matoleo yote ya tawi la sasa la vBulletin 5.x (lililotengenezwa tangu 2012), ikiwa ni pamoja na toleo la hivi karibuni la 5.5.4. Sasisho lililo na marekebisho bado halijatayarishwa.

Nyongeza ya 1: Kwa matoleo 5.5.2, 5.5.3 na 5.5.4 iliyotolewa mabaka. Wamiliki wa matoleo ya zamani ya 5.x wanashauriwa kusasisha kwanza mifumo yao hadi matoleo mapya zaidi yanayotumika ili kuondoa athari, lakini kama njia ya kutatua. mtu anaweza maoni nje kuita "eval($code)" katika msimbo wa chaguo za kukokotoa wa evalCode kutoka kwa faili inajumuisha/vb5/frontend/controller/bbcode.php.

Nyongeza ya 2: Athari tayari inatumika inatumika kwa mashambulizi, barua taka и kuacha milango ya nyuma. Athari za shambulio zinaweza kuzingatiwa katika kumbukumbu za seva ya http kwa kuwepo kwa maombi ya mstari "ajax/render/widget_php".

Nyongeza ya 3: imejitokeza athari za matumizi ya tatizo linalojadiliwa katika mashambulizi ya zamani; inaonekana, uwezekano huo tayari umetumiwa kwa takriban miaka mitatu. Mbali na hilo, iliyochapishwa hati ambayo inaweza kutumika kutekeleza mashambulizi ya kiotomatiki kwa wingi kutafuta mifumo hatarishi kupitia huduma ya Shodan.

Chanzo: opennet.ru