用於建立網路論壇 vBulletin 的引擎中未修正的嚴重漏洞（已新增）

揭曉 有關用於創建網路論壇的專有引擎中未糾正（0 天）嚴重漏洞 (CVE-2019-16759) 的信息 vBulletin，它允許您透過發送專門設計的 POST 請求來在伺服器上執行程式碼。 可以使用有效的漏洞來解決該問題。 vBulletin 被許多開放專案使用，包括基於該引擎的論壇。 Ubuntu, openSUSE, BSD系統 и Slackware的.

該漏洞存在於「ajax/render/widget_php」處理程序中，該處理程序允許透過「widgetConfig[code]」參數傳遞任意shell程式碼（啟動程式碼只是簡單地傳遞，您甚至不需要轉義任何內容） 。 該攻擊不需要論壇身份驗證。 該問題已在目前 vBulletin 5.x 分支（自 2012 年開發）的所有版本中得到確認，包括最新版本 5.5.4。 尚未準備好包含修復的更新。

補充 1：適用於版本 5.5.2、5.5.3 和 5.5.4 發布 補丁。 建議舊 5.x 版本的所有者首先將其係統更新到最新支援的版本以消除該漏洞，但作為解決方法 人們可以 註解掉 從檔案includes/vb5/frontend/controller/bbcode.php呼叫evalCode函數程式碼中的「eval($code)」。

附錄 2：漏洞已處於活動狀態 適用 對於攻擊， 垃圾郵件 и 留後門。 透過對「ajax/render/widget_php」行的請求的存在，可以在 http 伺服器日誌中觀察到攻擊的痕跡。

附錄3： 浮出水面 在舊的攻擊中使用所討論的問題的痕跡；顯然，該漏洞已經被利用了大約三年。 除了， 發表 一個可用於透過 Shodan 服務搜尋易受攻擊系統進行大規模自動攻擊的腳本。

來源： opennet.ru