Zero-Day-Lücke in vBulletin betrifft Zehntausende Internet-Foren

Die Schwachstelle erlaubt eine Remotecodeausführung ohne vorherige Authentifizierung. Ein Angreifer kann Shell-Befehle auf einem Server ausführen. Ein unbekannter Sicherheitsforscher macht alle Details der Sicherheitslücke anonym auf einer Mailing-Liste öffentlich.

Ein anonymer Sicherheitsforscher hat auf Full Disclosure alle Details zu einer Sicherheitslücke in der Foren-Software vBulletin veröffentlicht. Ein Angreifer ist unter Umständen in der Lage, Shell-Befehle auf dem Server auszuführen, auf dem die vBulletin-Software läuft. Sicherheitsexperten befürchten nun, dass die Preisgabe der Schwachstelle eine Welle von Hackerangriffen auf Internet-Foren nach sich ziehen könnte.

Sicherheitslücken (Bild: Shutterstock.com/bofotolux).Einer Analyse des veröffentlichten Proof-of-Concept-Codes zufolge benötigt ein Angreifer kein Konto für das von ihm ausgewählte Forum. Die Remotecodeausführung erfolgt also vor einer möglichen Authentifizierung, was als besonders kritisch eingestuft wird.

Unklar ist derzeit noch, ob der anonyme Forscher zuvor den Herausgeber von vBulletin kontaktiert hat oder nicht. Üblicherweise geben Forscher den Anbietern von Software mehrere Woche oder auch Monate Zeit, einen Fix bereitzustellen, bevor sie eine Schwachstelle beispielsweise auf Full Disclosure öffentlich machen. Da der Forscher für seinen Eintrag in der Mailing-Liste einen anonymen E-Mail-Dienst nutze, ist es auch nicht möglich, ihn zu kontaktieren.

vBulletin ist die wohl beliebteste Software zum Betreiben von Internetforen. W3Techs schätzt, dass rund 0,1 Prozent aller Websites über eine vBulletin-Forum verfügen. Insgesamt könnten somit Zehntausende Websites anfällig sein. vBulletin selbst nennt unter anderem Steam, EA, Zynga, Sony oder Sportmannschaften wie die Houstan Texans und die Denver Broncos als Kunden.

Allerdings wird die Zahl der Betroffenen dadurch eingeschränkt, dass der Fehler nur in der Version 5.x von vBulletin steckt. Ältere Versionen sollten also, vorausgesetzt es wurden alle verfügbaren Patches installiert, sicher sein.

Das auf den Ankauf von Sicherheitslücken spezialisierte Unternehmen Zerodium ist übrigens auch an Schwachstellen in vBulletin informiert. Für einen Bug wie die vorliegende Zero-Day-Lücke hätte der anonyme Forscher von Zerodium bis zu 10.000 Dollar erhalten. Da auch Untergrundforen im Dark Web vBulletin nutzen, haben vor allem Strafverfolgungsbehörden ein Interesse an Lücken in der Forensoftware.

WEBINAR

BlackBerry Intelligent Security - Flexible Sicherheitsrichtlinien für mobiles Arbeiten

Erfahren Sie in diesem Webinar, wie Sie die Vorteile von BlackBerry Intelligent Security in Ihrem Unternehmen voll ausschöpfen. Dazu zählen etwa eine höhere Endgerätesicherheit, ein verbesserter Bedienkomfort sowie eine erhöhte Produktivität bei reduzierten Kosten.

Themenseiten: Sicherheit, Zero-Day, securitry

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Zero-Day-Lücke in vBulletin betrifft Zehntausende Internet-Foren

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *