Una nuova vulnerabilità zero-day, CVE-2.019-16.759, è stato appena portato alla luce in vBulletin, un pacchetto software proprietario forum su Internet. La vulnerabilità è stata scoperta da un ricercatore di sicurezza anonimo che pubblicato i dettagli circa l'exploit on-line, esponendo così gli utenti vBulletin a un sacco di rischi. Come la vulnerabilità CVE-2.019-16.759 è attualmente senza patch, ricercatori di sicurezza sono ora preoccupati che la pubblicazione di dettagli circa l'exploit potrebbe danneggiare forum su internet a causa di attacchi informatici.
Qual è il vBulletin zero-day tutto su?
L'analisi del codice pubblicato rivela che la falla potrebbe consentire a un utente malintenzionato di eseguire comandi shell sul server che esegue l'installazione vBulletin. E 'anche opportuno precisare che il potenziale aggressore non ha bisogno di un account registrato sul forum per essere mirata. Questo è anche noto come codice remoto eseguire del pre-autenticazione, che è considerato uno dei peggiori difetti contro piattaforme web-based.
ricercatori Tenable sono stati in grado di analizzare e confermare che questo exploit opere su configurazioni di default di vBulletin. Sulla base della prova pubblica del codice di concept, un attaccante non autenticato può inviare una richiesta POST HTTP appositamente predisposta a un host vulnerabili vBulletin ed eseguire comandi.
Questi comandi saranno eseguiti con le autorizzazioni dell'account utente che il servizio sta utilizzando vBulletin. A seconda delle autorizzazioni dell'utente del servizio, questo potrebbe permettere il controllo completo di un host, i ricercatori disse.
Al momento della pubblicazione, il CVE-2.019-16.759 vulnerabilità zero-day non ha un attenuazione ufficiale o fix. I ricercatori di sicurezza si aspettano vBulletin a rispondere con un advisory o una patch presto.
Chi è a rischio?
Anche se un prodotto commerciale, vBulletin è attualmente il più popolare pacchetto software web forum. La sua quota di mercato sembra essere più grande di soluzioni open-source come phpBB, XenForo, Simple Machines Forum, etc.
Secondo W3Techs, in giro per 0.1% di tutti i siti Internet eseguire un forum vBulletin. La percentuale può sembrare insignificante, ma in realtà impatti milioni, se non miliardi, degli utenti Internet, ZDNet fa notare.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: