CVE-2019-16759
vBulletin PHP Module Remote Code Execution Vulnerability
Beschreibung
CVE-2019-16759 ist eine kritische Code-Injection-Schwachstelle in vBulletin 5.x bis 5.5.4. Die Schwachstelle ermöglicht Remote-Befehlsausführung über den Parameter widgetConfig[code] in einer ajax/render/widget_php-Routestring-Anfrage, wodurch nicht authentifizierte Angreifer beliebigen Code auf dem Server ausführen können. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,43 % (99,98. Perzentile) hat diese vBulletin-Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit und stellt eine unmittelbare Bedrohung für jedes ungepatchte vBulletin-Forum dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vbulletin | vbulletin | >= 5.0.0, <= 5.5.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154623/vBulletin-5.x-0-Day-Pre-Auth-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154648/vBulletin-5.x-Pre-Auth-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155633/vBulletin-5.5.4-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158829/vBulletin-5.x-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158830/vBulletin-5.x-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158866/vBulletin-5.x-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2020/Aug/5(Exploit, Mailing List, Third Party Advisory)
- https://arstechnica.com/information-technology/2019/09/public-exploit-code-spawns-mass-attacks-against-high-severity-vbulletin-bug/(Exploit, Press/Media Coverage, Third Party Advisory)
- https://seclists.org/fulldisclosure/2019/Sep/31(Exploit, Mailing List, Third Party Advisory)
- https://www.theregister.co.uk/2019/09/24/vbulletin_vbug_zeroday/(Press/Media Coverage, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-16759(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung (‘Code Injection’)
Code Injection tritt auf, wenn Software Codesegmente unter Verwendung von extern beeinflussten Eingaben konstruiert, ohne Spezialelemente ordnungsgemäß zu neutralisieren. Im Fall von CVE-2019-16759 akzeptiert das vBulletin PHP-Modul vom Benutzer bereitgestellten Code über den Parameter widgetConfig[code] und führt ihn über die widget_php-Route aus, wodurch Angreifer beliebigen PHP-Code auf dem Server mit Anwendungsrechten injizieren und ausführen können.
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung (‘Code Injection’)
Auswirkungsanalyse
CVE-2019-16759 hat einen CVSS 3.1-Score von 9,8 (CRITICAL) und erreicht damit die höchste praktische Schweregradbewertung. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar mit geringer Angriffskomplexität, erfordert keine Authentifizierung und benötigt keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen vBulletin-Servers und gewährt dem Angreifer die Fähigkeit, beliebige Befehle auszuführen. Der EPSS-Score von 94,43 % (99,98. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Organisationen mit verwundbaren vBulletin-Installationen sind einem kritischen Risiko der vollständigen Serverkompromittierung, des Datendiebstahls und der Verunstaltung ihrer Community-Foren ausgesetzt.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist weithin verfügbar für CVE-2019-16759, mit mehreren Proof-of-Concept-Exploits, die über Packet Storm Security und weiteren Varianten bei Packet Storm veröffentlicht wurden. Die Schwachstelle wurde ursprünglich als Zero-Day-Exploit offengelegt, wobei Massenausnutzungskampagnen kurz nach der Offenlegung gemeldet wurden. CISA hat die aktive Ausnutzung durch Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 94,43 % (99,98. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Später wurde festgestellt, dass der ursprüngliche Patch unvollständig war, was über CVE-2020-17496 unter Verwendung eines anderen Anfrageparameters ausgenutzt wurde.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie vBulletin auf eine Version jenseits von 5.5.4, die diese Code-Injection-Schwachstelle vollständig behebt.
- Überprüfen Sie, dass alle vBulletin-Instanzen mit den Versionen 5.0.0 bis 5.5.4 aktualisiert wurden, und beheben Sie auch CVE-2020-17496, das einen unvollständigen Fix für diese Schwachstelle ausnutzt.
- Deaktivieren Sie die PHP-Widget-Rendering-Funktionalität, indem Sie den Zugriff auf die ajax/render/widget_php-Route entfernen oder einschränken, falls ein sofortiges Patchen nicht möglich ist.
- Setzen Sie eine Web Application Firewall (WAF)-Regel ein, um Anfragen zu blockieren, die widgetConfig[code]-Parameter enthalten und den widget_php-Routestring anvisieren.
- Überprüfen Sie Serverprotokolle auf Kompromittierungsindikatoren, insbesondere Anfragen an ajax/render/widget_php mit widgetConfig-Parametern, und führen Sie eine forensische Analyse durch, falls eine Ausnutzung erkannt wird.
Technische Details
CVE-2019-16759 ist eine Code-Injection-Schwachstelle im vBulletin PHP-Widget-Rendering-Modul. Die Schwachstelle besteht, weil der ajax/render/widget_php-Routestring-Handler einen widgetConfig[code]-Parameter mit beliebigem PHP-Code akzeptiert, der dann vom Server ohne ordnungsgemäße Eingabevalidierung oder Sanitisierung ausgeführt wird. Dies entspricht direkt CWE-94, bei dem benutzergesteuerte Eingaben ohne Neutralisierung an eine Code-Ausführungsfunktion übergeben werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff netzwerkbasiert, trivial ausnutzbar ist und keine Privilegien oder Benutzerinteraktion erfordert. Die Schwachstelle wurde als Zero-Day offengelegt und ihr initialer Patch war unvollständig, was zu CVE-2020-17496 führte, das einen anderen Parameter im selben Subsystem ausnutzte.
Häufig gestellte Fragen
Wird CVE-2019-16759 aktiv ausgenutzt?
Ja. CVE-2019-16759 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 94,43 % (99,98. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Mehrere öffentliche Exploits sind verfügbar, und Massenausnutzungskampagnen wurden nach der initialen Offenlegung als Zero-Day gemeldet.
Welche Produkte sind von CVE-2019-16759 betroffen?
CVE-2019-16759 betrifft vBulletin Versionen 5.0.0 bis 5.5.4. Alle vBulletin 5.x-Installationen innerhalb dieses Versionsbereichs sind über das PHP-Widget-Modul für diese Remote-Code-Execution-Schwachstelle anfällig.
Wie behebe ich CVE-2019-16759?
Apply updates per vendor instructions — aktualisieren Sie vBulletin über Version 5.5.4 hinaus. Stellen Sie sicher, dass der Patch auch CVE-2020-17496 adressiert, das einen unvollständigen Fix ausnutzt. Als Übergangsmaßnahme blockieren oder deaktivieren Sie die ajax/render/widget_php-Route und setzen Sie WAF-Regeln zum Filtern von widgetConfig[code]-Parametern ein.
Wie schwerwiegend ist CVE-2019-16759?
CVE-2019-16759 hat einen CVSS 3.1-Score von 9,8 (CRITICAL). Dies ist eine Schwachstelle maximalen Schweregrades mit nahezu sicherer Ausnutzungswahrscheinlichkeit (EPSS 94,43 %), die unauthentifizierte Remote-Code-Execution auf betroffenen vBulletin-Servern ermöglicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.