Yoroi-Cybaze: Scoperta nuova vulnerabilità 0-day di vBulletin grazie a un hacker anonimo, il quale ha rilasciato pubblicamente un exploit. Con meno di 20 righe in Python si può accedere abusivamente ai sistemi 

Scoperta una nuova vulnerabilità 0-day all’interno di vBulletin, una tra le principali tecnologie di riferimento per la creazione di forum specialistici e community online. E’ l’allarme lanciato dagli esperti di cyber security di Yoroi-Cybaze. La criticità è nota con l’identificativo CVE-2019-16759.  Nei giorni scorsi, è stato rilasciato pubblicamente un exploit funzionante, in grado di eseguire codice arbitrario all’interno del server bersaglio. Ciò per via di gravi lacune durante la gestione delle richieste Ajax nel modulo “widget_php” . Tale circostanza può essere sfruttata da hacker malevoli e non autenticati per accedere abusivamente ai sistemi, propagare automaticamente worm e malware all’interno di essi e trafugarne il contenuto, inclusi account e credenziali utente. Peraltro, con meno di 20 linee in codice Python. Le versioni vulnerabili dovrebbero essere dalla 5.0.0 alla 5.5.4.

Gli esperti di cyber security: Il produttore del software per la creazione di forum specialistici e community online ha ammesso il problema e rilasciato subito una falla. Sembra, però, che l’exploit sia in vendita da anni nelle community degli hacker

Gli esperti di cyber security ricordano che il produttore di vBulletin ha confermato la problematica, rilasciando inoltre patch di sicurezza per le versioni 5.5.2, 5.5.3 e 5.5.4. Di conseguenza, Yoroi raccomanda di effettuare gli aggiornamenti previsti. Inoltre, consiglia di valutare l’adozione di una policy sull’utilizzo degli indirizzi email aziendali all’interno di forum e community. Ciò al fine di limitarne l’eventuale coinvolgimento in caso di data breach su terze parti. Anche perché sembra che l’exploit fosse noto da tempo nella community degli hacker. Tanto che in diversi  lo vendevano da anni. Non è chiaro, invece, se sia mai stato utilizzato o meno per lanciare attacchi cibernetici.