Обнаружены две уязвимости ПО vBulletin

183 0

Две незащищенные критические уязвимости обнаружены в популярном программном обеспечении для интернет-форумов vBulletin.
Внимание обратили исследователи из итальянской фирмы по безопасности TRUEL IT и пожелавший остаться неизвестным независимый исследователь. Последний раскрыл подробности об уязвимостях, обратившись в компанию Beyond Security, представляющую интересы ИБ-специалистов в таких ситуациях в рамках программы SecuriTeam. Он также пытался связаться с vBulletin с 21 ноября, но не получил ответа.

Первой уязвимостью является проблема вовлечения файлов, которая приводит к удаленному выполнению кода, позволяя злоумышленнику «приносить» любой файл на сервер vBulletin и выполнять произвольный PHP-код.

Вторая уязвимость (CVE-2017-17672) описана как проблема десериализации, которую неаутентифицированный злоумышленник может использовать для удаления произвольных файлов и даже запускать вредоносный код «при определенных обстоятельствах».

Открытый API, называемый функцией vB_Library_Template’s cacheTemplates, позволяет получать информацию о наборе заданных шаблонов из базы данных для хранения их внутри переменной кэша.

vBulletin является широко используемым запатентованным софтом интернет-форума на базе сервера баз данных PHP и MySQL. Он обеспечивает работу более 100 000 веб-сайтов в Интернете, включая Fortune и Alexa. Исследователи ожидают, что поставщик выпустит патч для обеих уязвимостей до того, как хакеры начнут использовать их.

Подписываемся, следим @CyberAgency

Related Post

Американцы ставят тайну интернет-переписки выше борьбы с терроризмом

Опубликовано - 10.04.2017 0
40 процентов американцев стали осторожнее пользоваться электронной почтой после скандальной истории со взломом почтового сервера Демократической партии в ходе президентской…

Добавить комментарий