Lỗ hổng bảo mật nghiêm trọng trên vBulletin
Theo PCWorld, các nhà nghiên cứu của Imperva đã phát hiện lỗ hổng này trên các diễn đàn "ngầm" của hacker. Các phiên bản 4.x.x và 5.x.x của vBullentin bị ảnh hưởng của lỗi bảo mật này.
Trong tuyên bố của mình về lỗ hổng này,
các nhà nghiên cứu cho biết đây có thể là cùng một lỗ hổng mà vBulletin
công bố vào tháng 8. Các thông tin chi tiết về lỗ hổng bảo mật bị phát
hiện vào tháng 8 cho tới giờ vẫn chưa được tiết lộ, song vào thời điểm
đó vBulletin cũng đã đưa ra khuyến cáo xóa thư mục cài đặt trên bộ phần
mềm của khách hàng.
Để khai thác lỗ hổng nói trên, hacker
cần biết chính xác chuỗi địa chỉ (URL) của đoạn mã upgrade.php trong thư
mục cài đặt của diễn đàn vBulletin mà chúng nhắm tới. Hacker cũng cần
phải thu được số nhận dạng danh tính vBulletin (vBulletin ID) tương ứng
với chủ tài khoản của diễn đàn này.
Để thu thập được các thông tin này,
hacker sẽ tạo ra một đoạn mã PHP riêng biệt có khả năng quét các đường
dẫn vBulletin bị sơ hở và thu thập số nhận dạng từ các trang
upgrade.php. Một khi đã thu được các thông tin cần thiết, chúng chỉ cần
tạo ra một tài khoản admin trái phép và tiến hành khai thác tài khoản
này.
vBulletin Solutions, công ty đứng đằng
sau vBulletin, đã từ chối xác nhận xem liệu lỗ hổng mới bị phát hiện có
phải là lỗ hổng đã được khuyến cáo vào tháng 8 hay không.
"Chúng tôi đã cập nhật vBulletin 4 (vBulletin 4.2.2) và vBulletin 5 (vBulletin 5.0.5)", Wayne Luke, trưởng bộ phận kỹ thuật tại vBulletin Solutions cho biết. "Chúng tôi khuyến cáo khách hàng nên xóa thư mục cài đặt khi không cần dùng".
Các nhà nghiên cứu của Imperva cho biết
đã phát hiện lưu lượng dữ liệu đi ra từ một diễn đàn sử dụng vBulletin
4.2.0 bị tấn công. Nhiều thông tin cũng đã xuất hiện xác nhận các vụ tấn
công trên phiên bản 4.2.1. Hiện tại, chưa có thông báo nào cho biết các
bản cập nhật vá lỗ hổng 4.2.2 và 5.0.5 có bị khai thác thành công hay
không.
Thư mục mà vBulletin khuyến cáo xóa bỏ là /install trên vBulletin 4.1.x và /core/install trên các bản 5.x.
Những người dùng không thể xóa thư mục cài đặt nên sử dụng cơ chế tùy
chỉnh (config) hoặc ứng dụng tường lửa để chặn các yêu cầu tới trang
upgrade.php.
Được biết, cho tới nay vBulletin đã được
chọn để xây dựng hơn 40.000 diễn đàn trên toàn cầu. Đây là phần mềm
phát triển diễn đàn mạng phổ biến nhất trên thế giới, được xây dựng trên
2 công nghệ chính: Ngôn ngữ lập trình web PHP và hệ cơ sở dữ liệu
MySQL.
Các khách hàng xây dựng diễn đàn dựa
trên vBulletin sẽ được cung cấp sẵn một số giải pháp quản trị diễn đàn
tương đối mạnh mẽ (quản lý thành viên, tối ưu bộ máy tìm kiếm, cung cấp
giải pháp blog...) và các giao diện căn bản. Tại Việt Nam, một số diễn
đàn nổi tiếng như vozForums và GameVN cũng sử dụng vBulletin.
Theo VnReview
0 comments:
Đăng nhận xét