Investigadores de seguridad han descubierto y divulgado detalles de dos vulnerabilidades críticas sin parche en un popular de foros de Internet, vBulletin basado en PHP y MySQL que está presente en más de 100.000 sitios web en Internet.
Las vulnerabilidades fueron descubiertas por un investigador de seguridad de la empresa de seguridad italiana TRUEL IT y otro independiente desconocido, que publicaron los detalles de las vulnerabilidades al programa SecuriTeam Secure Disclosure de Beyond Security.
Las vulnerabilidades afectan a la versión 5 del software del foro vBulletin y actualmente no están corregidas. Beyond Security intento ponerse en contacto con vBulletin desde el 21 de noviembre de 2017, pero no recibieron respuesta de la compañía.

Vulnerabilidad de ejecución remota de comandos en vBulletin


La primera vulnerabilidad descubierta en vBulletin es un problema de inclusión de archivos que conduce a la ejecución remota de código, lo que permite a un atacante incluir remotamente cualquier archivo del servidor vBulletin y ejecutar código PHP arbitrariamente.

Un atacante no autenticado puede desencadenar la vulnerabilidad de inclusión de archivos enviando una solicitud GET a index.php con el parámetro "routestring=" en la solicitud, lo que permite al atacante "crear una solicitud especialmente elaborada al servidor Vbulletin instalada en el sistema operativo Windows e incluir cualquier archivo en el servidor web".
Vulnerabilidad de eliminación remota y arbitraria de archivos de vBulletin

La segunda vulnerabilidad descubierta en el software del foro vBulletin versión 5 se le ha asignado CVE-2017-17672 y se describe como un problema de deserialización que un atacante no autenticado puede aprovechar para eliminar archivos arbitrarios e incluso ejecutar código malicioso "en determinadas circunstancias".

La vulnerabilidad se debe al uso inseguro de unserialize() de PHP en la entrada proporcionada por el usuario, que permite a un atacante no autenticado eliminar archivos arbitrariamente y, posiblemente, ejecutar código arbitrario en una instalación de vBulletin.

La API expuesta públicamente, concretamente la función cacheTemplates() de vB_Library_Template, permite recuperar información de un conjunto de plantillas de la base de datos para almacenarlas dentro de una variable de caché.


"La variable $temnplateidlist, que puede venir directamente de la entrada del usuario, se suministra directamente a unserialize() lo que da como resultado una "primitiva" deserialización arbitraria", explica el aviso.