Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Gravi vulnerabilità in vBulletin 5.5.x

remote code execution  SQL injection  vBulletin   giovedì, 10 ottobre 2019

vBulletin è una piattaforma software per la gestione di forum specialistici e community online molto diffusa in ambito commerciale.

Sono state recentemente scoperte tre diverse vulnerabilità in vBulletin, la più grave delle quali potrebbe essere sfruttata da un attaccante remoto per eseguire codice arbitrario sui server affetti.

La prima vulnerabilità (CVE-2019-17132) deriva da una validazione insufficiente dei parametri d’utente “data[extension]” e “data[filedata]” passati in input alla funzione “ajax/api/user/updateAvatar” allo scopo di aggiornare l’avatar dell’utente. Questa vulnerabilità può essere sfruttata per iniettare ed eseguire codice PHP arbitrario. Per poter essere sfruttata la vulnerabilità richiede che sia abilitata l’opzione “Save Avatars as Files” (disabilitata per impostazione predefinita).

Lo scopritore della falla ha rilasciato pubblicamente un exploit funzionante.

Le altre due vulnerabilità (riunite sotto l’unico identificativo CVE-2019-17271) derivano da una validazione insufficiente delle chiavi del parametro “where” passate in input alla funzione “ajax/api/hook/getHookList” e successivamente utilizzate in una query SQL. Se sfruttate con successo, queste vulnerabilità possono consentire ad un attaccante di estrarre dati potenzialmente sensibili dal database mediante attacchi di tipo SQL injection.

Il produttore MH Sub I, LLC ha rilasciato patch di sicurezza per le versioni di vBulletin 5.5.2, 5.5.3 e 5.5.4. Vista la gravità delle falle, si raccomanda di scaricare ed applicare gli aggiornamenti di sicurezza messi a disposizione dal produttore il più presto possibile.

Per maggiori informazioni su queste vulnerabilità e sugli aggiornamenti disponibili, è possibile consultare le seguenti fonti esterne (in Inglese):

Notizie correlate

Aggiornamenti di sicurezza critici per Magento

14 ottobre 2019

Sono stati rilasciati aggiornamenti di sicurezza per la piattaforma di e-commerce Magento che risolvono un totale di 53 vulnerabilità, di cui 12 critiche e altre 12 di gravità elevata.Leggi tutto

Aggiornamento di sicurezza Android (ottobre 2019)

8 ottobre 2019

Google ha rilasciato l'aggiornamento di sicurezza di ottobre che risolve svariate vulnerabilità nel sistema operativo Android, le più gravi delle quali potrebbero consentire l'esecuzione di codice da remoto sul dispositivo.Leggi tutto

Vulnerabilità in Whatsapp per Android consente esecuzione di codice da remoto

4 ottobre 2019

È stata scoperta una grave vulnerabilità in WhatsApp per Android che può consentire l'esecuzione di codice arbitrario da remoto, con conseguente compromissione totale del dispositivo.Leggi tutto