vBulletin 5.x多個高危漏洞安全通告
發布時間 2019-10-11漏洞編號和級別
CVE編號：CVE-2019-17271，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2019-17132，危險級別：高危，CVSS分值：官方未評定
影響版本
vBulletin版本5.0.0到最新的5.5.4
漏洞概述
vBulletin是美國Internet Brands和vBulletin Solutions公司共同開發的一款開源的商業Web論壇程序。
近日，vBulletin 官方發布了一個全新安全補丁，該補丁修復了CVE編號為CVE-2019-17271的SQL注入漏洞，以及CVE編號為CVE-2019-17132的遠程代碼執行漏洞。
CVE-2019-17271 SQL注入漏洞
SQL注入漏洞是兩個“read in-band and time-based”的SQL注入問題，它們存在于兩個獨立的端點上，允許具有受限制特權的管理員從數據庫讀取敏感數據。
（1）通過“where”參數的鍵傳遞到“ajax/api/hook/getHookList”端點的用戶輸入數據，在后臺進行SQL查詢之前沒有經過正確驗證與過濾。遠程攻擊者可以利用這一點，通過“read in-band”SQL注入攻擊從數據庫中讀取敏感數據。但是成功利用此漏洞需要用戶具有“canadminproducts”或“canadminstyles”的管理員權限，任意注冊的用戶無該權限。
（2）通過“where”參數的鍵傳遞到“ajax/api/widget/getWidgetList”端點的用戶輸入數據，在后臺進行SQL查詢之前沒有經過正確驗證與過濾。遠程攻擊者可以利用這一點，通過“time-based”SQL注入攻擊從數據庫中讀取敏感數據。但是成功利用此漏洞需要用戶具有”canusesitebuilder”的管理員權限，任意注冊的用戶無該權限。
CVE-2019-17132 遠程代碼執行漏洞
vBulletin forum處理用戶更新頭像(用戶的個人資料、圖標或圖形表示)請求時存在遠程代碼執行漏洞，該漏洞產生的原因是通過“data[extension]”和“data[filedata]”參數傳遞到”ajax/api/User/updateAvatar”端點的用戶輸入數據，在用于更新用戶的avatar之前沒有得到正確驗證。這可以用來注入和執行任意的PHP代碼。但是成功利用此漏洞需要管理員啟用“保存頭像為文件”選項(該選項默認被禁用)。
通過網絡空間搜索引擎可以得知，在全球范圍內，對互聯網開放的vBulletin網站有近3萬個，其中較多網站為國際大型企業所維護的國際社區論壇，所以該漏洞影響面較大。
漏洞驗證
CVE-2019-17132
POC：https://packetstormsecurity.com/files/154759/vBulletin-5.5.4-Remote-Code-Execution.html。
修復建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：
https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4423646-vbulletin-5-5-x-5-5-2-5-5-3-and-5-5-4-security-patch-level-2。
參考鏈接
https://packetstormsecurity.com/files/154758/vBulletin-5.5.4-SQL-Injection.html
https://packetstormsecurity.com/files/154759/vBulletin-5.5.4-Remote-Code-Execution.html
京公網安備11010802024551號