تويت
الإعلان عن ثغرة أمينة خطيرة في vBulletin v3.8.6
السلام عليكم ورحمة الله وبركاته
تم الإعلان عن ثغرة أمنية خطيرة في إحدى أكثر أنظمة المنتديات انتشاراً vBulletin v3.8.6
والتي تسمح للمهاجمين بالوصول إلى أي خادم MySQL يقوم بتشغيل المنتدى.
الثغرة تكمن في آلية البحث الموجودة في ملف FAQ.php والتي تقوم بإعادة نتائج البحث بعد المرور على ملف vbulletin-language.xml أثناء عملها، والذي بدوره يحوي على الكود التالي
وكما يظهر جلياً فإن البيانات هنا سيتم جلبها تلقائياً من ملف الإعدادات ووضعها داخل ملف اللغة الأمر الذي يؤدي من خلال استخدام كلمة البحث “database” في صفحة FAQ إلى إظهار هذه البيانات لأي شخص كان عضواً أو عابر سبيل!
أكدت vBulletin وجود هذه الثغرة في الإصدار 3.8.6 من نظام المنتديات وقامت على الفور بطرح ترقيع أمني متوفر للتحميل، كما أنه تم ترقيع الحزمة الأصلية كاملة على خوادمهم لمن سيقوم بتحميلها لاحقاً حتى لا يضطر إلى إعادة تثبيت الترقيع أيضاً.
شخصياً أخذت بعض الوقت قبل الشروع بكتابة الخبر في استخدام محرك البحث المفضل وعبارة “powered by vBulletin 3.8.6″ بحثاً عن منتديات بهذا الإصدار لتجربة الثغرة لكن جميع النتائج جاءت سلبية (على الأقل في بضع عشرات المنتديات التي جربتها).
الأمر الملحوظ أيضاً أن بعض مزودي خدمات الاستضافة مثل HostGator قاموا بإضافة mod_security rule تقوم بمنع الوصول إلى صفحة faq.php في في حال كانت كلمة البحث هي “database” وقاموا بتشغيل هذه الـ rule على جميع خوادمهم المشتركة shared hosting servers و reseller servers كإجراء وقائي ريثما يقوم معظم أصحاب المنتديات المستضافة لديهم بالتنبه وتثبيت الترقيع وهذا أمر جيد جداً منهم نأمل أن يحذو حذوه غيرهم من أصحاب هذه المزودات.
يمكن الإطلاع على تفاصيل أوفى حول الترقيع من هنا.
دمتم برعاية الرحمن
حسين اللامي
تم الإعلان عن ثغرة أمنية خطيرة في إحدى أكثر أنظمة المنتديات انتشاراً vBulletin v3.8.6
والتي تسمح للمهاجمين بالوصول إلى أي خادم MySQL يقوم بتشغيل المنتدى.
الثغرة تكمن في آلية البحث الموجودة في ملف FAQ.php والتي تقوم بإعادة نتائج البحث بعد المرور على ملف vbulletin-language.xml أثناء عملها، والذي بدوره يحوي على الكود التالي
وكما يظهر جلياً فإن البيانات هنا سيتم جلبها تلقائياً من ملف الإعدادات ووضعها داخل ملف اللغة الأمر الذي يؤدي من خلال استخدام كلمة البحث “database” في صفحة FAQ إلى إظهار هذه البيانات لأي شخص كان عضواً أو عابر سبيل!
أكدت vBulletin وجود هذه الثغرة في الإصدار 3.8.6 من نظام المنتديات وقامت على الفور بطرح ترقيع أمني متوفر للتحميل، كما أنه تم ترقيع الحزمة الأصلية كاملة على خوادمهم لمن سيقوم بتحميلها لاحقاً حتى لا يضطر إلى إعادة تثبيت الترقيع أيضاً.
شخصياً أخذت بعض الوقت قبل الشروع بكتابة الخبر في استخدام محرك البحث المفضل وعبارة “powered by vBulletin 3.8.6″ بحثاً عن منتديات بهذا الإصدار لتجربة الثغرة لكن جميع النتائج جاءت سلبية (على الأقل في بضع عشرات المنتديات التي جربتها).
الأمر الملحوظ أيضاً أن بعض مزودي خدمات الاستضافة مثل HostGator قاموا بإضافة mod_security rule تقوم بمنع الوصول إلى صفحة faq.php في في حال كانت كلمة البحث هي “database” وقاموا بتشغيل هذه الـ rule على جميع خوادمهم المشتركة shared hosting servers و reseller servers كإجراء وقائي ريثما يقوم معظم أصحاب المنتديات المستضافة لديهم بالتنبه وتثبيت الترقيع وهذا أمر جيد جداً منهم نأمل أن يحذو حذوه غيرهم من أصحاب هذه المزودات.
يمكن الإطلاع على تفاصيل أوفى حول الترقيع من هنا.
دمتم برعاية الرحمن
حسين اللامي
تعليق