Опубликован эксплойт для уязвимости нулевого дня в vBulletin

Неизвестный исследователь опубликовал в общедоступной рассылке Full Disclosure описание уязвимости нулевого дня в популярном форумном движке vBulletin, а также проверочный код для ее эксплуатации (так называемый proof-of-concept – PoC). Несколько технологических ресурсов уже проверили публикацию и подтвердили как наличие уязвимости, так и действенность эксплойта. Уязвимость потенциально позволяет злоумышленникам дистанционное исполнение произвольного кода в системе, где запущен vBulletin - при этом атакующий даже не должен быть зарегистрирован на форуме.

vBulletin – самый популярный на сегодняшний день движок для интернет-форумов. По оценкам W3Techs, его используют 0,1% всех интернет-сайтов. Столь низкая доля не должна вводить в заблуждение: во-первых, следует понимать, что общее числа сайтов в глобальной сети превышает миллиард, а во-вторых, многие из этих сайтов не хранят какую-либо информацию о посетителях. Форумы же по определению эту информацию собирают, поскольку предусматривают регистрацию пользователей. Очевидно, что публикация серьезно угрожает десяткам тысяч форумов и миллионам их пользователей.

Мотивы анонимного публикатора неизвестны. Исследователи нередко выкладывают описание уязвимостей в открытый доступ, но делается это либо после того, как уязвимость уже устранена, либо тогда, когда разработчик, невзирая на полученную информацию, не принимает никаких мер для исправления ситуации. В данном же случае поведение автора публикации можно расценивать как безответственное. Интересно также, что фирма Zerodium, специализирующаяся на приобретении эксплойтов и описаний уязвимостей, готова платить за аналогичные уязвимости в vBulletin до 10 тысяч долларов.

Источник: ZDNet