Анонимный исследователь обнародовал в открытом доступе детали опасной уязвимости нулевого дня в форумном движке vBulletin. Теперь ИБ-специалисты опасаются, что публикация детальной информации о проблеме и Python-эксплоита для нее могут спровоцировать массовую волну взломов форумов.

Подробности о 0–day баге можно найти на страницах рассылки Full Disclosure. Сообщается, что данная RCE-уязвимость позволяет злоумышленнику выполнять shell-команды на сервере с vBulletin. Причем атакующему достаточно использовать простой HTTP POST-запрос и не нужно иметь учетную запись на целевом форуме, то есть проблема относится к неприятному классу pre-authentication уязвимостей.

Издание ZDNet ссылается на ряд собственных источников и подтверждает, что уязвимость работает именно так, как описывает анонимный специалист. Пожалуй, единственная хорошая новость в данной ситуации заключается в том, что 0-day работает только с версиями форума vBulletin 5.x (вплоть до новейшей 5.5.4) а более ранние версии багу не подвержены.

https://twitter.com/i/web/status/1176551984037543936



Опубликован скрипт для поиска уязвимых серверов
https://github.com/Frint0/mass-pwn-vbulletin


Появилось более детальное описание проблемы
https://gist.github.com/jamesbercega...12d98d887542b3

Пока неясно, пытался ли аноним сообщить о найденной проблеме разработчикам vBulletin (и ее не сумели исправить), или же сразу обнародовал информацию о баге в открытом доступе. Разработчики пока никак не прокомментировали ситуацию, и некоторые даже полагают, что публикация данных об уязвимости могла быть спланированным актом саботажа.

Хотя vBulletin является коммерческим продуктом, на сегодняшний день это самый популярный форумный движок, имеющий большую долю рынка, чем решения с открытым исходным кодом, такие как phpBB, XenForo, Simple Machines Forum, MyBB и другие. По данным W3Techs , порядка 0,1% всех сайтов используют форумы vBulletin. Хотя это значение кажется небольшим, на самом деле это означает, что с vBulletin работают миллиарды интернет-пользователей.

Интересно, что информация об этой проблеме могла принести исследователю немалые деньги. К примеру, компания Zerodium готова заплатить за подобные RCE-уязвимости в vBulletin до 10 000 долларов США.

хакИр

Originally Posted by Canny

Пожалуй, единственная хорошая новость в данной ситуации заключается в том, что 0-day работает только с версиями форума vBulletin 5.x (вплоть до новейшей 5.5.4), а более ранние версии багу не подвержены.

Ну хоть что-то на 5-ке работает.

давно дырок не было...
или про них никто не рассказывал?

Originally Posted by Canny

Появилось более детальное описание проблемы

тут бы не помешала нормальная ссылка... эта - битая

Просто продажи упали, цитируемость никакая - вот и закинули инфы))

Originally Posted by kerk

или про них никто не рассказывал?

они нафик никому не были нужны...

ну что - работает, таки да...

патч: https://vbsupport.ru/forum/showthread.php?t=53672

Originally Posted by Luvilla

тут бы не помешала нормальная ссылка... эта - битая

Поправил.

Для 0-day бага в vBulletin появился патч, но уязвимость эксплуатировали годами https://xakep.ru/2019/09/26/vbulletin-patch/

Прошу прощения за офф.. но вспомнился классик...
"О сколько нам видений чудных.." ...готовит пять-vBulletin..""