CVE-2020-17496
vBulletin PHP Module Remote Code Execution Vulnerability
Beschreibung
CVE-2020-17496 ist eine kritische Injection-Schwachstelle in vBulletin Versionen 5.5.4 bis 5.6.2. Die Schwachstelle ermöglicht Remote-Befehlsausführung über manipulierte subWidgets-Daten in einer ajax/render/widget_tabbedcontainer_tab_panel-Anfrage. Diese Schwachstelle existiert aufgrund eines unvollständigen Fixes für CVE-2019-16759 und ermöglicht nicht authentifizierten Angreifern die Ausführung beliebiger Befehle auf dem Server. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,18 % (99,92. Perzentile) hat diese vBulletin-Schwachstelle eine nahezu sichere Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vbulletin | vbulletin | >= 5.5.4, <= 5.6.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://blog.exploitee.rs/2020/exploiting-vbulletin-a-tale-of-patch-fail/(Exploit, Third Party Advisory)
- https://cwe.mitre.org/data/definitions/78.html(Technical Description)
- https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4445227-vbulletin-5-6-0-5-6-1-5-6-2-security-patch(Patch, Vendor Advisory)
- https://seclists.org/fulldisclosure/2020/Aug/5(Exploit, Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-17496(US Government Resource)
Schwachstellentyp
CWE-74: Unsachgemäße Neutralisierung spezieller Elemente in Ausgaben, die von einer nachgelagerten Komponente verwendet werden (‘Injection’)
Injection-Schwachstellen treten auf, wenn Software Ausgaben unter Verwendung von extern beeinflussten Eingaben konstruiert, ohne Spezialelemente ordnungsgemäß zu neutralisieren, die als Steuerungsdirektiven interpretiert werden könnten. Bei CVE-2020-17496 versäumt es das vBulletin Widget-Rendering-Subsystem, manipulierte subWidgets-Daten im ajax/render/widget_tabbedcontainer_tab_panel-Endpunkt ordnungsgemäß zu neutralisieren, wodurch Angreifer beliebige Befehle auf dem zugrunde liegenden Server injizieren und ausführen können.
Mehr erfahren: CWE-74 — Unsachgemäße Neutralisierung spezieller Elemente in Ausgaben
Auswirkungsanalyse
CVE-2020-17496 hat einen CVSS 3.1-Score von 9,8 (CRITICAL), die höchste praktische Schweregradbewertung. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar mit geringer Angriffskomplexität, erfordert keine Authentifizierung und benötigt keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen vBulletin-Servers und ermöglicht Angreifern die Ausführung beliebiger Befehle mit den Rechten des Webservers. Der EPSS-Score von 94,18 % (99,92. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Dies ist besonders gefährlich, da es den Patch für CVE-2019-16759 umgeht, was bedeutet, dass Organisationen, die sich geschützt glaubten, möglicherweise weiterhin verwundbar sind.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2020-17496 über exploitee.rs mit Details zur Umgehung des unvollständigen Patches sowie über die Full Disclosure Mailingliste. CISA hat die aktive Ausnutzung durch Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 94,18 % (99,92. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Diese Schwachstelle steht in direktem Zusammenhang mit CVE-2019-16759 und demonstriert ein Patch-Bypass-Szenario: Der ursprüngliche Fix blockierte den widgetConfig[code]-Parameter, adressierte aber nicht den subWidgets-Datenvektor in der widget_tabbedcontainer_tab_panel-Route, wodurch Angreifer die gleiche Remote-Code-Execution über einen alternativen Pfad erreichen konnten.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie den vBulletin-Sicherheitspatch für die Versionen 5.6.0, 5.6.1 und 5.6.2 wie vom Hersteller veröffentlicht.
- Überprüfen Sie, dass alle vBulletin-Instanzen mit den Versionen 5.5.4 bis 5.6.2 sowohl den CVE-2019-16759- als auch den CVE-2020-17496-Patch erhalten haben, da ersterer einen unvollständigen Fix hatte.
- Beschränken Sie den Zugriff auf die ajax/render/widget_tabbedcontainer_tab_panel-Route mittels Webserver-Konfiguration oder WAF-Regeln, um manipulierte subWidgets-Payloads zu blockieren.
- Setzen Sie eine Web Application Firewall (WAF) mit Regeln ein, die speziell auf Injection-Muster in vBulletin Widget-Rendering-Endpunkten abzielen.
- Überprüfen Sie Server-Zugangsprotokolle und Webanwendungsprotokolle auf verdächtige Anfragen an widget_tabbedcontainer_tab_panel-Endpunkte und leiten Sie eine Incident Response ein, falls Ausnutzungsindikatoren gefunden werden.
Technische Details
CVE-2020-17496 ist eine Injection-Schwachstelle im vBulletin Widget-Rendering-Subsystem, die aufgrund eines unvollständigen Fixes für CVE-2019-16759 existiert. Während der ursprüngliche Patch den widgetConfig[code]-Parameter in der widget_php-Route einschränkte, entdeckten Angreifer, dass manipulierte subWidgets-Daten, die an den ajax/render/widget_tabbedcontainer_tab_panel-Endpunkt gesendet werden, die gleiche beliebige Befehlsausführung erreichen konnten. Die Schwachstelle entspricht CWE-74, da die Anwendung Spezialelemente in benutzerbereitgestellten Eingaben nicht ordnungsgemäß neutralisiert, bevor sie in einer nachgelagerten Komponente verwendet werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff netzwerkbasiert, trivial ausnutzbar ohne Authentifizierung oder Benutzerinteraktion ist und zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führt.
Häufig gestellte Fragen
Wird CVE-2020-17496 aktiv ausgenutzt?
Ja. CVE-2020-17496 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 94,18 % (99,92. Perzentile) zeigt nahezu sichere Ausnutzungsaktivität an. Öffentlicher Exploit-Code und detaillierte Analysen der unvollständigen Patch-Umgehung sind frei verfügbar.
Welche Produkte sind von CVE-2020-17496 betroffen?
CVE-2020-17496 betrifft vBulletin Versionen 5.5.4 bis 5.6.2. Diese Schwachstelle zielt speziell auf den widget_tabbedcontainer_tab_panel-Rendering-Endpunkt ab und existiert aufgrund eines unvollständigen Fixes für CVE-2019-16759.
Wie behebe ich CVE-2020-17496?
Apply updates per vendor instructions — installieren Sie den vBulletin-Sicherheitspatch für die Versionen 5.6.0, 5.6.1 und 5.6.2. Stellen Sie sicher, dass sowohl CVE-2019-16759- als auch CVE-2020-17496-Patches angewendet werden. Als Übergangsmaßnahme setzen Sie WAF-Regeln ein, um manipulierte subWidgets-Payloads zu blockieren.
Wie schwerwiegend ist CVE-2020-17496?
CVE-2020-17496 hat einen CVSS 3.1-Score von 9,8 (CRITICAL). Dies ist eine Schwachstelle maximalen Schweregrades, die unauthentifizierte Remote-Befehlsausführung auf vBulletin-Servern ermöglicht und den ursprünglichen Patch für CVE-2019-16759 umgeht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.