[Unpatched] Eksploitasi RCE 0-Hari yang Penting untuk Forum vBulletin Diungkapkan secara Publik

Seorang peretas anonim hari ini secara terbuka mengungkapkan rincian dan kode eksploit bukti konsep untuk kerentanan eksekusi kode jauh nol-hari yang tidak ditambal dalam vBulletin – salah satu perangkat lunak forum internet yang banyak digunakan.

Salah satu alasan mengapa kerentanan harus dilihat sebagai masalah yang parah bukan hanya karena itu dapat dieksploitasi dari jarak jauh, tetapi juga tidak memerlukan otentikasi.

Ditulis dalam PHP, vBulletin adalah paket perangkat lunak forum Internet berpemilik yang digunakan secara luas yang menggerakkan lebih dari 100.000 situs web di Internet, termasuk situs web dan forum Fortune 500 dan Alexa Top 1 juta perusahaan.

Menurut perincian yang dipublikasikan pada milis Full Disclosure, peretas mengklaim telah menemukan kerentanan eksekusi kode jarak jauh yang tampaknya memengaruhi versi vBulletin 5.0.0 hingga yang terbaru 5.5.4.

Kerentanan berada dalam cara file widget internal paket perangkat lunak forum menerima konfigurasi melalui parameter URL dan kemudian menguraikannya di server tanpa pemeriksaan keamanan yang tepat, memungkinkan penyerang untuk menyuntikkan perintah dan secara jarak jauh mengeksekusi kode pada sistem.

Sebagai pembuktian konsep, peretas juga telah merilis exploit berbasis python yang dapat memudahkan siapa pun untuk mengeksploitasi zero-day di alam liar.

Sejauh ini, nomor Common Vulnerabilities and Exposures (CVE) belum ditetapkan untuk kerentanan.

The Hacker News juga telah memberi tahu pengelola proyek vBulletin tentang pengungkapan kerentanan dan mengharapkan mereka untuk menambal masalah keamanan sebelum para peretas mulai mengeksploitasi mereka untuk menargetkan instalasi vBulletin.