Две незащищенные критические уязвимости обнаружены в популярном программном обеспечении для интернет-форумов vBulletin.
Внимание обратили исследователи из итальянской фирмы по безопасности TRUEL IT и пожелавший остаться неизвестным независимый исследователь. Последний раскрыл подробности об уязвимостях, обратившись в компанию Beyond Security, представляющую интересы ИБ-специалистов в таких ситуациях в рамках программы SecuriTeam. Он также пытался связаться с vBulletin с 21 ноября, но не получил ответа.
Первой уязвимостью является проблема вовлечения файлов, которая приводит к удаленному выполнению кода, позволяя злоумышленнику «приносить» любой файл на сервер vBulletin и выполнять произвольный PHP-код.
Вторая уязвимость (CVE-2017-17672) описана как проблема десериализации, которую неаутентифицированный злоумышленник может использовать для удаления произвольных файлов и даже запускать вредоносный код «при определенных обстоятельствах».
Открытый API, называемый функцией vB_Library_Template’s cacheTemplates, позволяет получать информацию о наборе заданных шаблонов из базы данных для хранения их внутри переменной кэша.
vBulletin является широко используемым запатентованным софтом интернет-форума на базе сервера баз данных PHP и MySQL. Он обеспечивает работу более 100 000 веб-сайтов в Интернете, включая Fortune и Alexa. Исследователи ожидают, что поставщик выпустит патч для обеих уязвимостей до того, как хакеры начнут использовать их.