Um hackers Anonymous revelou hoje publicamente detalhes e prova-de-conceito código de exploração para um, zero-day vulnerabilidade de execução sem correção crítica remota de código no vBulletin-um dos softwares fórum de internet amplamente utilizada, a Hacker News aprendeu.
Uma das razões por que a vulnerabilidade deve ser visto como um problema grave não é apenas porque é explorada remotamente, mas também não requer autenticação.
Escrito em PHP, vBulletin é um pacote de software de fórum Internet proprietário amplamente utilizado que alimenta mais de 100.000 sites na Internet, incluindo Fortune 500 e Alexa Top 1 milhão de empresas sites e fóruns.
De acordo com dados publicados na lista de discussão Full Disclosure, o hacker afirma ter encontrado uma vulnerabilidade de execução remota de código que parece afetar versões vBulletin 5.0.0 até o mais recente 5.5.4.
O Hacker News fez a verificação independente de que a falha funciona, como descrito, e afeta a versão mais recente do software vBulletin, que eventualmente deixa milhares de sites fórum em risco de hacking.
A vulnerabilidade reside na forma como um arquivo Widget interna do pacote de software fórum aceita configurações via os parâmetros de URL e, em seguida, analisá-los no servidor sem verificações de segurança adequadas, permitindo que atacantes para injetar comandos e remotamente executar código no sistema.
Como prova de conceito, o hacker também lançou um-python baseado exploit que poderia tornar mais fácil para qualquer um para explorar a-dia zero em estado selvagem.
Até agora, os Common Vulnerabilities and Exposures número (CVE) não foi atribuído à vulnerabilidade.
The Hacker News também informou mantenedores do projeto vBulletin sobre a vulnerabilidade de divulgação e esperar que eles para corrigir o problema de segurança antes que os hackers começar a explorá-lo para atingir instalações vBulletin.
Um pesquisador de segurança cibernética separado analisada a principal razão dessa vulnerabilidade e postou detalhes logo após a Hacker News publicar o artigo.
Enquanto isso, um usuário GitHub também lançou um script simples que poderia deixar qualquer um fazer a varredura do Internet para encontrar sites vBulletin usando Shodan motor de pesquisa e verificar automaticamente para sites vulneráveis.
Vamos atualizar o artigo e informar os leitores através da mídia social logo que ouvir de volta os mantenedores vBulletin.
Update – Hackers ativamente Explorando Zero-Day vBulletin; Patches agora disponível
De acordo com várias fontes comunitárias infosec em contato com The Hacker News, vários grupos de hackers e caçadores de bugs individuais já começaram a digitalização da Internet para direcionar sites vBulletin vulneráveis.
After The Hacker News deu a notícia e informou a equipe vBulletin sobre a divulgação pública de dia zero, agora rastreado como CVE-2.019-16759, lançou o mantenedores do projeto hoje patches de segurança para versões vBulletin 5.5.2, 5.5.3 e 5.5. 4.