vBulletin cập nhật bản vá cho lỗ hổng RCE và SQLi mới

Sau khi phát hành một bản vá bảo mật cho lỗ hổng 0-day nghiêm trọng cho phép tin tặc thực thi mã lệnh tùy ý từ xa được phát hiện vào cuối tháng 9/2019, vBulletin gần đây cũng đã phát hành một bản vá bảo mật nhằm giải quyết thêm 3 lỗ hổng bảo mật có mức độ nghiêm trọng cao trong phần mềm diễn đàn của mình.

vBulletin cập nhật bản vá cho lỗ hổng RCE và SQLi mới - CyberSec365.org

Theo đó, các lỗ hổng bảo mật này (có mã hiệu là CVE-2019-17132 và CVE-2019-17271) được phát hiện bởi Egidio Romano, một nhà nghiên cứu bảo mật ứng dụng, ảnh hưởng đến phiên bản vBulletin từ ver5.5.4 trở về trước, có thể cho phép kẻ tấn công từ xa kiểm soát hoàn toàn các máy chủ web được nhắm mục tiêu và đánh cắp thông tin người dùng nhạy cảm. 

Được viết bằng PHP, vBulletin là một phần mềm diễn đàn Internet độc quyền được sử dụng rộng rãi, cung cấp hơn 100.000 trang web trên Internet, bao gồm các trang web và diễn đàn của Fortune 500 và và các công ty nằm trong top 1 triệu của Alexa.

Lỗ hổng RCE và SQLi trong vBulletin 

Lỗ hổng RCE (có mã hiệu CVE-2019-17132) nằm trong cách diễn đàn vBulletin xử lý các yêu cầu của người dùng để cập nhật hình đại diện cho hồ sơ của họ, biểu tượng hoặc biểu diễn đồ họa của người dùng, cho phép kẻ tấn công từ xa tiêm và thực thi mã PHP tùy ý trên máy chủ đích thông qua các tham số không được xác nhận.

Tuy nhiên, cần lưu ý rằng lỗ hổng này không thể khai thác trong cài đặt mặc định của diễn đàn vBulletin, thay vào đó có thể khai thác khi tùy chọn "Save Avatars as Files" được bật bởi quản trị viên trang diễn đàn.

Romano cũng đã phát hành công khai một bằng chứng khái niệm khai thác cho lỗ hổng RCE này.

Hai lỗ hổng khác là các vấn đề liên quan đến SQL injection có thể cho phép tin tặc đọc dữ liệu nhạy cảm từ cơ sở dữ liệu mà họ không được phép truy cập.

vBulletin cập nhật bản vá cho lỗ hổng RCE và SQLi mới - CyberSec365.org

Tuy nhiên, cả 2 lỗ hổng SQL injection này yêu cầu một số quyền đặc biệt để có thể khai thác. Do đó, các quản trị viên không cần quá quan tâm về 2 lỗ hổng này.

Bản vá bảo mật được phát hành

Được biết, Romano đã báo cáo tất cả các lỗ hổng cho vBulletin vào ngày 30/9/2019 và vBulletin đã thừa nhận về các lỗ hổng và đưa ra các bản vá nhằm giải quyêt các lỗ hổng bảo mật được báo cáo.
Hiện tại, các quản trị viên được khuyến nghị cài đặt các bản cập vá lỗi trước khi tin tặc nhắm mục tiêu vào diễn đàn của mình, giống như trường hợp đã xảy ra đối với diễn đàn của Comodo vào cuối tuần trước.

Đại Phát (Theo THN)