用于创建网络论坛 vBulletin 的引擎中未修复的严重漏洞（已添加）

揭晓 有关用于创建网络论坛的专有引擎中未纠正（0 天）严重漏洞 (CVE-2019-16759) 的信息 v公告，它允许您通过发送专门设计的 POST 请求来在服务器上执行代码。可以使用有效的漏洞来解决该问题。 vBulletin 被许多开放项目使用，包括基于该引擎的论坛。 Ubuntu, openSUSE, BSD系统 и Slackware的.

该漏洞存在于“ajax/render/widget_php”处理程序中，该处理程序允许通过“widgetConfig[code]”参数传递任意shell代码（启动代码只是简单地传递，您甚至不需要转义任何内容） 。该攻击不需要论坛身份验证。该问题已在当前 vBulletin 5.x 分支（自 2012 年开发）的所有版本中得到确认，包括最新版本 5.5.4。尚未准备好包含修复的更新。

附加内容 1：适用于版本 5.5.2、5.5.3 和 5.5.4 发布 补丁。建议旧 5.x 版本的所有者首先将其系统更新到最新受支持的版本以消除该漏洞，但作为解决方法 人们可以 注释掉 从文件includes/vb5/frontend/controller/bbcode.php中调用evalCode函数代码中的“eval($code)”。

附录 2：漏洞已处于活动状态 申请 对于攻击， 垃圾邮件 и 留后门。通过对“ajax/render/widget_php”行的请求的存在，可以在 http 服务器日志中观察到攻击的痕迹。

附录3： 浮出水面 在旧的攻击中使用所讨论的问题的痕迹；显然，该漏洞已经被利用了大约三年。除了， 发表 一个可用于通过 Shodan 服务搜索易受攻击系统进行大规模自动攻击的脚本。

来源： opennet.ru