Lỗ hổng nguy cấp ảnh hưởng tới các diễn đàn của vBulletin

Mới đây, những người bảo trì dự án vBlulletin đã công bố một bản cập nhật vá lỗi quan trọng  cho nền tảng này, tuy nhiên không tiết lộ bất kỳ thông tin gì về lỗ hổng bảo mật (có số hiệu CVE02020-12720).

vBulletin được viết bằng ngôn ngữ lập trình PHP, là một phần mềm diễn đàn Internet nguồn mở, được sử dụng rộng rãi cho hơn 100.000 website, bao gồm cả các diễn đàn của một số công ty trong danh sách Fortune 500 và các công ty hàng đầu khác.

Tuy nhiên, phần mềm phổ biến này cũng là một trong những mục tiêu ưa thích của tin tặc. Vì vậy, việc không công bố chi tiết về lỗ hổng có thể giúp một số trang web cập nhật các bản vá trước khi các tin tặc khai thác lỗ hổng để tấn công các trang web, máy chủ và dữ liệu người dùng.

Cũng giống như trước đây, các nhà nghiên cứu và tin tặc đã dùng đến kỹ thuật đảo ngược (reverse-engineering) bản vá phần mềm để định vị và nắm bắt về lỗ hổng. 

Cơ sở dữ liệu quốc gia về lỗ hổng bảo mật (National Vulnerability Database) cũng đang phân tích lỗ hổng và tiết lộ rằng lỗ hổng có tính nguy cấp cao này có nguồn gốc từ một vấn đề kiểm soát truy nhập không đúng ảnh hưởng tới các phiên bản vBulletin 5.5.6pl1 trở về trước, phiên bản từ  5.6.0 đến 5.6.0pl1 trở về trước và 5.6.1 trước 5.6.1pl1.

Theo vBulletin: "Nếu bạn đang sử dụng phiên bản diễn đàn vBulletin 5 trước 5.5.2 thì bắt buộc bạn phải nâng cấp càng sớm càng tốt".

Cho đến thời điểm hiện tại không có bằng chứng (proof-of-concept) nào chứng minh rằng lỗ hổng đang bị khai thác.

Trong khi đó, Charles Fol, một kỹ sư bảo mật tại Ambionics xác nhận ông đã phát hiện và báo cáo lỗ hổng này tới nhóm vBulletin. Ông cũng có kế hoạch sẽ tiết lộ thêm thông tin tại hội nghị bảo mật CNTT của Pháp (SSTIC) diễn ra vào tháng tới.

Các nhà quản trị diễn đàn nên tải xuống và cài đặt các bản vá tương ứng cho phần mềm diễn đàn sau đây càng sớm càng tốt. Đó là: Bản vá cấp độ 1 cho 5.6.1, Bản vá cấp độ 1 cho  5.6.0,  Bản vá cấp độ 1 cho 5.5.6.