搜索

[6184] 2019-09-26_vBulletin5.x远程代码执行漏洞预警

文档创建者：s7ckTeam
浏览次数：55
最后更新：2025-01-17
2019-09-26_vBulletin5.x远程代码执行漏洞预警 v B u l l e t i n   5 . x 远 程 代 码 执 行   漏 洞 预 警 E 安 全   2 0 1 9 - 0 9 - 2 6 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 1 . 安 全 公 告 安 全 公 告 v B u l l e t i n   是 一 个 商 用 的 论 坛 程 序 ， 在 全 球 拥 有 数 万 用 户 且 增 长 速 度 很 快 。 该 论 坛 采 用 P H P   W e b 语 言 及 M y S Q L 数 据 库 的 方 式 进 行 架 构 。 《 财 富 》   5 0 0 强 和 A l e x a 排 名 前 1 0 0 万 的 公 司 网 站 大 部 分 都 在 使 用 的 一 款 互 联 网 论 坛 程 序 。 2 0 1 9 年 9 月 2 3 日 ， 有 漏 洞 发 布 网 站 （ 非 v B u l l e t i n 官 方 ） 公 布 了 v B u l l e t i n   v 5 （ 5 . 0 . 0 到 5 . 5 . 4 ） 版 本 存 在 远 程 命 令 执 行 的 漏 洞 利 用 代 码 ， 而 影 响 最 新 的 5 . 5 . 4 版 本 还 没 发 布 多 久 ， 对 应 C V E 编 号 ： C V E - 2 0 1 9 - 1 6 7 5 9 ， 相 关 信 息 链 接 ： h t t p s : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 9 / S e p / 3 1 根 据 描 述 ， 漏 洞 通 过 请 求 a j a x / r e n d e r / w i d g e t _ p h p 进 行 模 板 注 入 触 发 代 码 执 行 ， 安 恒 应 急 响 应 中 心 验 证 了 公 开 代 码 的 可 利 用 性 ， 建 议 部 署 有 v B u l l e t i n   v 5 （ 5 . 0 . 0 到 5 . 5 . 4 ） 版 本 的 系 统 及 时 更 新 和 进 行 安 全 加 固 配 置 。 v B u l l e t i n 发 布 安 全 公 告 论 坛 ： h t t p s : / / w w w . v b u l l e t i n . c o m / f o r u m / f o r u m / v b u l l e t i n - a n n o u n c e m e n t s / v b u l l e t i n - a n n o u n c e m e n t s _ a a 2 . 影 响 版 本 影 响 版 本 C V E - 2 0 1 9 - 1 6 7 5 9 漏 洞 影 响 ： v B u l l e t i n   5 . 0 . 0   到 最 新   5 . 5 . 4 版 本 安 全 更 新 补 丁 下 载 ： h t t p : / / m e m b e r s . v b u l l e t i n . c o m / p a t c h e s . p h p （ 需 要 登 录 ） 3 . 影 响 范 围 影 响 范 围 该 论 坛 程 序 在 国 外 的 国 外 的 用 户 量 就 类 似 d z 论 坛 在 国 内 的 用 户 量 。 该 论 坛 用 户 群 体 主 要 是 国 外 用 户 居 多 。 通 过 安 恒 研 究 院 S U M A P 平 台 针 对 全 球 运 行 v B u l l e t i n   的 资 产 （ 情 况 统 计 ， 最 新 查 询 分 布 情 况 如 下 ： 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。
  通 过 安 恒 研 究 院 S U M A P 平 台 针 对 国 内 运 行 v B u l l e t i n   的 资 产 情 况 统 计 ， 最 新 查 询 分 布 情 况 如 下 ：   4 . 缓 解 措 施 缓 解 措 施 高 危 ： 目 前 漏 洞 细 节 和 测 试 代 码 已 经 公 开 ， 强 烈 建 议 及 时 升 级 安 全 更 新 补 丁 ， 或 是 部 署 W A F 等 安 全 防 护 设 备 监 控 漏 洞 利 用 情 况 。 威 胁 推 演 ： 此 漏 洞 为 远 程 代 码 执 行 漏 洞 ， 基 于 全 球 使 用 该 产 品 用 户 的 数 量 和 暴 露 在 网 上 的 端 口 情 况 ， 恶 意 攻 击 者 可 能 会 开 发 针 对 该 漏 洞 的 自 动 化 攻 击 程 序 ， 实 现 漏 洞 利 用 成 功 后 自 动 植 入 后 门 程 序 ， 并 进 一 步 释 放 矿 工 程 序 或 是 D D O S 僵 尸 木 马 等 恶 意 程 序 达 到 蠕 虫 传 播 ， 从 而 影 响 到 邮 件 服 务 的 正 常 提 供 。
安 全 开 发 建 议 ： v B u l l e t i n 历 史 上 报 过 多 次 安 全 漏 洞 ， 建 议 使 用 该 产 品 的 企 业 通 过 安 全 开 发 代 码 加 固 其 用 户 输 入 过 滤 和 随 时 关 注 安 全 更 新 公 告 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理