Zero-Day-Lücke in vBulletin betrifft Zehntausende Internet-Foren

Ein anonymer Sicherheitsforscher hat auf Full Disclosure alle Details zu einer Sicherheitslücke in der Foren-Software vBulletin veröffentlicht. Ein Angreifer ist unter Umständen in der Lage, Shell-Befehle auf dem Server auszuführen, auf dem die vBulletin-Software läuft. Sicherheitsexperten befürchten nun, dass die Preisgabe der Schwachstelle eine Welle von Hackerangriffen auf Internet-Foren nach sich ziehen könnte.

Einer Analyse des veröffentlichten Proof-of-Concept-Codes zufolge benötigt ein Angreifer kein Konto für das von ihm ausgewählte Forum. Die Remotecodeausführung erfolgt also vor einer möglichen Authentifizierung, was als besonders kritisch eingestuft wird.

Unklar ist derzeit noch, ob der anonyme Forscher zuvor den Herausgeber von vBulletin kontaktiert hat oder nicht. Üblicherweise geben Forscher den Anbietern von Software mehrere Woche oder auch Monate Zeit, einen Fix bereitzustellen, bevor sie eine Schwachstelle beispielsweise auf Full Disclosure öffentlich machen. Da der Forscher für seinen Eintrag in der Mailing-Liste einen anonymen E-Mail-Dienst nutze, ist es auch nicht möglich, ihn zu kontaktieren.

vBulletin ist die wohl beliebteste Software zum Betreiben von Internetforen. W3Techs schätzt, dass rund 0,1 Prozent aller Websites über eine vBulletin-Forum verfügen. Insgesamt könnten somit Zehntausende Websites anfällig sein. vBulletin selbst nennt unter anderem Steam, EA, Zynga, Sony oder Sportmannschaften wie die Houstan Texans und die Denver Broncos als Kunden.

Allerdings wird die Zahl der Betroffenen dadurch eingeschränkt, dass der Fehler nur in der Version 5.x von vBulletin steckt. Ältere Versionen sollten also, vorausgesetzt es wurden alle verfügbaren Patches installiert, sicher sein.

Das auf den Ankauf von Sicherheitslücken spezialisierte Unternehmen Zerodium ist übrigens auch an Schwachstellen in vBulletin informiert. Für einen Bug wie die vorliegende Zero-Day-Lücke hätte der anonyme Forscher von Zerodium bis zu 10.000 Dollar erhalten. Da auch Untergrundforen im Dark Web vBulletin nutzen, haben vor allem Strafverfolgungsbehörden ein Interesse an Lücken in der Forensoftware.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Datenschutz & LinkedIn

Von über 830 Millionen Mitgliedern weltweit verwaltet das kalifornische Online-Karriereportal LinkedIn inzwischen Daten und Kontakte.…

2 Tagen ago

Matter: Neuer Standard für Smart Home

Die Connectivity Standards Alliance (CSA) will Matter zum neuen Konnektivitätsstandard für Smart Homes machen.

2 Tagen ago

Unverschlüsselte Geräte sind gefährlich

Unverschlüsselte Geräte sind ein Einfallstor für Hacker. Es ist schwierig, den Überblick über sämtliche Endpoints…

2 Tagen ago

Altanwendungen eine Chance geben

Altanwendungen besitzen keinen guten Ruf, obwohl sie viele Jahre treu und zuverlässig funktioniert haben. Es…

3 Tagen ago

Angriffe auf Computerspiele verdoppelt

Spielehersteller und Gamer-Accounts sind durch den Anstieg der Angriffe auf Webanwendungen nach der Pandemie gefährdet.…

3 Tagen ago

Backup-Kosten sparen

Datensicherung ist unabdingbar, kann aber ins Geld gehen. André Schindler, General Manager EMEA bei NinjaOne…

3 Tagen ago