هجوم گسترده اکسپلویت ها به حفره امنیتی vBulletin RCE

پس از پیدا شدن یک ضعف امنیتی Zero-Day در Securelist توسط یک نفر، پلتفرم vBulletin سریعا اقدام به ارائه یک پچ برای مقابله با آن نمود.

یک مشکل عمده امنیتی در اجرای کد از راه دور (RCE) که تا نسخه ۵ در vBulletinبه طور پیش فرض وجود دارد به هکر ها این امکان را می دهد که میزبانی وب قربانی را به طور کامل در اختیار بگیرند.

پیش از آنکه vBulletin پچ خود را در روز دوشنبه ارائه کند اسکریپتی منتشر شد تا سیستم های آلوده را شناسایی و مورد هجوم قرار دهد. گاوین میلارد اعلام کرد این اسکریپت از طریق ایمیل ارسال شده و تا کنون موفق به شناسایی هزاران سیستم آسیب پذیر شده است.

جزئیات حفره امنیتی

یک exploit قادر خواهد بود سایت هایی که از vBulletin استفاده می کنند و فعالیت های آنلاین دارند را مورد حمله قرار دهد و کنترل کامل سایت را در اختیار بگیرد. بنا به اظهارات یکی از محققین ضعف امنیتی موجود در widget های مورد استفاده در vBulletin است که این امکان را به مهاجمین می دهد بدون نیاز به اتصال به سرور اصلی از این نقص به عنوان میانبر استفاده نمایند.

این پژوهشگر اضافه کرد مهاجمین قادر خواهند بود با ارسال در خواست های HTTP POST دستکاری شده دستورات خرابکارانه خود را اجرا نمایند. مهاجمین قادر خواهند بود از طریق مجوز های حساب کاربری که از سرویس vBulletin استفاده می کنند کنترل کاملی را در اختیار داشته باشند و کدهای مخرب را اجرا نمایند.

این پچ برای نسخه های ۵٫۵٫۲ ، ۵٫۵٫۳ و ۵٫۵٫۴ ارائه شده و در صورتی به درستی کار می کند که آخرین به روز رسانی ها انجام شده باشد. این پچ برای نسخه های مبتنی بر Cloud  نیز اعمال می شود.

با توجه به اینکه این ضعف امنیتی به بازدیدکنندگان این امکان را می دهد تا درخواست های خود را بر اساس کدهای PHP روی سرور اصلی سایت اجرا نمایند باید هر چه سریعتر به نصب این پچ اقدام شود.

برای آنکه متوجه شوید مورد هجوم قرار گرفته اید، در قسمت PHP سایت مسیر ajax / render / widget_php” ” را مورد بررسی قرار دهید، وجود این فایل نشانگر این است که مورد هجوم این Zero-Day قرار گرفته اید و باید هرچه زودتر نسبت به رفع مشکل اقدامات لازم امنیتی را انجام دهید.