vBulletin 5.x多个高危缝隙安全公告

颁布功夫 2019-10-11

缝隙编号和级别


CVE编号：CVE-2019-17271，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2019-17132，危险级别：高危，CVSS分值：官方未评定


影响版本


vBulletin版本5.0.0到最新的5.5.4


缝隙概述


vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的贸易Web论坛法式。


近日，vBulletin 官方颁布了一个全新安全补丁，该补丁建复了CVE编号为CVE-2019-17271的SQL注入缝隙，以及CVE编号为CVE-2019-17132的远程代码执行缝隙。


CVE-2019-17271 SQL注入缝隙


SQL注入缝隙是两个“read in-band and time-based”的SQL注入问题，它们存在于两个独立的端点上，允许拥有受限度特权的治理员从数据库读取敏感数据。


（1）通过“where”参数的键传递到“ajax/api/hook/getHookList”端点的用户输入数据，在后盾进行SQL查问之前没有经过正确验证与过滤。远程攻击者能够利用这一点，通过“read in-band”SQL注入攻击从数据库中读取敏感数据。但是成功利用此缝隙必要用户具佑装canadminproducts”或“canadminstyles”的治理员权限，肆意注册的用户无该权限。


（2）通过“where”参数的键传递到“ajax/api/widget/getWidgetList”端点的用户输入数据，在后盾进行SQL查问之前没有经过正确验证与过滤。远程攻击者能够利用这一点，通过“time-based”SQL注入攻击从数据库中读取敏感数据。但是成功利用此缝隙必要用户具佑妆canusesitebuilder”的治理员权限，肆意注册的用户无该权限。


CVE-2019-17132 远程代码执行缝隙


vBulletin forum处置用户更新头像(用户的幼我资料、图标或图形暗示)要求时存在远程代码执行缝隙，该缝隙产生的原因是通过“data[extension]”和“data[filedata]”参数传递到”ajax/api/User/updateAvatar”端点的用户输入数据，在用于更新用户的avatar之前没有得到正确验证。这能够用来注入和执行肆意的PHP代码。但是成功利用此缝隙必要治理员启用“保留头像为文件”选项(该选项默认被禁用)。


通过网络空间搜索引擎能够得知，在全球领域内，对互联网盛开的vBulletin网站有近3万个，其中较多网站为国际大型企业所守护的国际社区论坛，所以该缝隙影响面较大。


缝隙验证


CVE-2019-17132

POC：https://packetstormsecurity.com/files/154759/vBulletin-5.5.4-Remote-Code-Execution.html。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4423646-vbulletin-5-5-x-5-5-2-5-5-3-and-5-5-4-security-patch-level-2。


参考链接


https://packetstormsecurity.com/files/154758/vBulletin-5.5.4-SQL-Injection.html

https://packetstormsecurity.com/files/154759/vBulletin-5.5.4-Remote-Code-Execution.html