El investigador de seguridad publica detalles y código de explotación para un vBulletin de día cero

Imagen: ZDNet Un investigador de seguridad ha publicado detalles y código de explotación de prueba de concepto para una vulnerabilidad de día cero en vBulletin, uno de los programas de foro más populares de la actualidad. El día cero es un bypass para un parche de un día cero de vBulletin anterior, a saber, CVE-2019-16759, divulgado en septiembre de 2019. El día cero anterior permitía a los atacantes aprovechar un error en el sistema de plantilla vBulletin para ejecutar código malicioso y apoderarse de los foros sin necesidad de autenticarse en los sitios de las víctimas (un tipo de error llamado RCE previo a la autenticación).
CVE-2019-16759 se reveló el 24 de septiembre de 2019 y se proporcionó un parche al día siguiente, el 25 de septiembre. Sin embargo, en una publicación de blog publicada el domingo por la noche, el investigador de seguridad con sede en Austin, Amir Etemadieh, dijo que el CVE-2019-16759 "era inadecuado para bloquear la explotación". El investigador dijo que encontró una manera simple de evitar el parche y continuar explotando la misma vulnerabilidad CVE-2019-16759, y publicó tres pruebas de concepto en Bash, Python y Ruby, para demostrar su punto.
Etemadieh le dijo a ZDNet que no se comunicó ni notificó al equipo de vBulletin antes de hacer públicos sus hallazgos. MH Sub I, LLC, la compañía que comercializa el software del foro vBulletin, no ha devuelto una solicitud de comentarios. De cualquier manera, el nuevo código de día cero está en vivo y se ha compartido ampliamente en sitios de redes sociales como Reddit y Twitter, y dentro de comunidades de piratería alojadas en foros privados y canales de Discord.
La publicación del día cero de septiembre de 2019 desencadenó una ola masiva de ataques a vBulletin el año pasado, lo que provocó que muchas empresas revelaran violaciones de seguridad durante los meses siguientes. Los foros, en general, son algunas de las tecnologías web más buscadas para piratear. La razón por la que los piratas informáticos ponen un manual en los foros tiene que ver con su propósito y los datos que pueden robar.
A diferencia de la mayoría de los sistemas de administración de contenido como WordPress, Drupal o Joomla, los foros en línea como vBulletin se crean con el único y principal propósito de administrar comunidades en línea y, como resultado, contienen grandes cantidades de datos personales. Un sitio de WordPress se puede usar para ejecutar el sitio web de un planificador de bodas o de la oficina de un abogado, pero incluso los foros más humildes y sin importancia tienen miles de perfiles de usuarios registrados que contienen información confidencial del usuario, junto con publicaciones de usuarios, mensajes personales y, a veces, incluso información financiera, si los foros tienen funciones de pago por acceso. Sin embargo, incluso si Etemadieh no dejó en claro si notificó al equipo de vBulletin sobre sus planes de revelar un día cero, el investigador dice que los propietarios de foros pueden evitar la explotación haciendo las siguientes modificaciones en la configuración de sus foros de discusión.
En el momento de escribir este artículo, se confirmó que al menos un foro había sido pirateado utilizando este nuevo día cero, el foro de la conferencia de seguridad DEF CON, que acaba de concluir durante el fin de semana. Actualizado a las 19:30 ET para agregar que el equipo de vBulletin ha lanzado un parche. pags VER GALERÍA COMPLETA.