vBulletin再修复高危RCE和SQL注入漏洞

iso60001  36天前

22.png

上个月末,vBulletin刚发布了一个针对高危远程代码执行漏洞的补丁,又在最近发布了一个全新安全补丁,针对了软件中的另外3个严重漏洞。

此次牵涉的漏洞影响vBulletin 5.5.4及以前的版本,最终可导致远程攻击者完全控制目标服务器或窃取敏感用户信息。

vBulletin是一款全球范围内都广泛使用的论坛软件,由PHP编写,目前有超过10万个网站都在使用,其中不乏《财富》500强和Alexa前100万公司的网站和论坛。

安全研究员Egidio Romano发现了第一个漏洞,被标记为CVE-2019-17132,是一个远程代码执行漏洞,其他两个是SQL注入漏洞,被分配了一个统一的编号CVE-2019-17271

RCE和SQL注入

其中RCE漏洞存在于vBulletin论坛处理用户更新头像(用户个人资料中的图标或图形)请求的方式上,远程攻击者可借此往目标服务器注入恶意参数,执行任意PHP代码。

但是,需要注意的是,在默认安装的情况下,这个漏洞在vBulletin论坛中是不可利用的,只有在网站管理员启用“将头像保存为文件”这一选项时才能生效。

Romano还针对这个RCE漏洞发布了一个PoC脚本。

33.png

另外两个漏洞是in-band(可直接获取敏感信息)和基于时间的SQL注入漏洞,它们存在于两个独立的端点上,可让具有某些权限的管理员从数据库中读取敏感数据。

44.png

由于这两个SQL注入漏洞不能直接被任何注册用户所利用,且需要特殊的权限,所以vBulletin论坛的管理员和用户不必惊慌。

安全补丁发布

就在上周9月30日,Romano负责地向vBulletin维护团队报告了所有的漏洞,团队很快承认了漏洞存在,并发布了对应的安全补丁。

  • vBulletin 5.5.4 Patch Level 2

  • vBulletin 5.5.3 Patch Level 2

  • vBulletin 5.5.2 Patch Level 2

强烈建议所有vBulletin论坛管理员抢在黑客开始利用漏洞攻击网站之前打上安全补丁,否则就可能像上周有人利用vBulletin漏洞窃取了近24.5万名Comodo论坛用户的登录信息一样。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://thehackernews.com/2019/10/vBulletin-hacking-exploit.html

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号