vBulletin再修复高危RCE和SQL注入漏洞

上个月末&＃xff0c;vBulletin刚发布了一个针对高危远程代码执行漏洞的补丁&＃xff0c;又在最近发布了一个全新安全补丁&＃xff0c;针对了软件中的另外3个严重漏洞。

此次牵涉的漏洞影响vBulletin 5.5.4及以前的版本&＃xff0c;最终可导致远程攻击者完全控制目标服务器或窃取敏感用户信息。

vBulletin是一款全球范围内都广泛使用的论坛软件&＃xff0c;由PHP编写&＃xff0c;目前有超过10万个网站都在使用&＃xff0c;其中不乏《财富》500强和Alexa前100万公司的网站和论坛。

安全研究员Egidio Romano发现了第一个漏洞&＃xff0c;被标记为CVE-2019-17132&＃xff0c;是一个远程代码执行漏洞&＃xff0c;其他两个是SQL注入漏洞&＃xff0c;被分配了一个统一的编号CVE-2019-17271。

RCE和SQL注入

其中RCE漏洞存在于vBulletin论坛处理用户更新头像&＃xff08;用户个人资料中的图标或图形)请求的方式上&＃xff0c;远程攻击者可借此往目标服务器注入恶意参数&＃xff0c;执行任意PHP代码。

但是&＃xff0c;需要注意的是&＃xff0c;在默认安装的情况下&＃xff0c;这个漏洞在vBulletin论坛中是不可利用的&＃xff0c;只有在网站管理员启用“将头像保存为文件”这一选项时才能生效。

Romano还针对这个RCE漏洞发布了一个PoC脚本。

另外两个漏洞是in-band&＃xff08;可直接获取敏感信息&＃xff09;和基于时间的SQL注入漏洞&＃xff0c;它们存在于两个独立的端点上&＃xff0c;可让具有某些权限的管理员从数据库中读取敏感数据。

由于这两个SQL注入漏洞不能直接被任何注册用户所利用&＃xff0c;且需要特殊的权限&＃xff0c;所以vBulletin论坛的管理员和用户不必惊慌。

安全补丁发布

就在上周9月30日&＃xff0c;Romano负责地向vBulletin维护团队报告了所有的漏洞&＃xff0c;团队很快承认了漏洞存在&＃xff0c;并发布了对应的安全补丁。

• vBulletin 5.5.4 Patch Level 2

• vBulletin 5.5.3 Patch Level 2

• vBulletin 5.5.2 Patch Level 2

强烈建议所有vBulletin论坛管理员抢在黑客开始利用漏洞攻击网站之前打上安全补丁&＃xff0c;否则就可能像上周有人利用vBulletin漏洞窃取了近24.5万名Comodo论坛用户的登录信息一样。

本文由白帽汇整理并翻译&＃xff0c;不代表白帽汇任何观点和立场&＃xff1a;https://nosec.org/home/detail/3022.html
来源&＃xff1a;https://thehackernews.com/2019/10/vBulletin-hacking-exploit.html