الإعلان عن ثغرة أمينة خطيرة في vBulletin v3.8.6

الوقت المقدّر لقراءة هذا المقال: 2 دقيقة و 37 ثانية

الإعلان عن ثغرة أمينة خطيرة في vBulletin v3.8.6

تم الإعلان عن ثغرة أمنية خطيرة في إحدى أكثر أنظمة  المنتديات انتشاراً vBulletin v3.8.6، والتي تسمح للمهاجمين بالوصول إلى أي خادم  MySQL يقوم بتشغيل المنتدى.

الثغرة تكمن في آلية البحث الموجودة في ملف FAQ.php والتي تقوم بإعادة نتائج البحث بعد المرور على ملف vbulletin-language.xml أثناء عملها، والذي بدوره يحوي على الكود التالي

<![CDATA[Database Name: {$vbulletin->config['Database']['dbname']}
 
Database Host: {$vbulletin->config['MasterServer']['servername']}
 
Database Port: {$vbulletin->config['MasterServer']['port']}
 
Database Username: {$vbulletin->config['MasterServer']['username']}
 
Database Password: {$vbulletin->config['MasterServer']['password']}]]>

وكما يظهر جلياً فإن البيانات هنا سيتم جلبها تلقائياً من ملف الإعدادات ووضعها داخل ملف اللغة الأمر الذي يؤدي من خلال استخدام كلمة البحث “database” في صفحة FAQ إلى إظهار هذه البيانات لأي شخص كان عضواً أو عابر سبيل!

أكدت vBulletin  وجود هذه الثغرة في الإصدار 3.8.6 من نظام المنتديات وقامت على الفور بطرح ترقيع أمني متوفر للتحميل، كما أنه تم ترقيع الحزمة الأصلية كاملة على خوادمهم لمن سيقوم بتحميلها لاحقاً حتى لا يضطر إلى إعادة تثبيت الترقيع أيضاً.

شخصياً أخذت بعض الوقت قبل الشروع بكتابة الخبر في استخدام محرك البحث المفضل وعبارة “powered by vBulletin 3.8.6” بحثاً عن منتديات بهذا الإصدار لتجربة الثغرة لكن جميع النتائج جاءت سلبية (على الأقل في بضع عشرات المنتديات التي جربتها).

الأمر الملحوظ أيضاً أن بعض مزودي خدمات الاستضافة مثل HostGator قاموا بإضافة mod_security rule تقوم بمنع الوصول إلى صفحة faq.php في في حال كانت كلمة البحث هي “database” وقاموا بتشغيل هذه الـ rule على جميع خوادمهم المشتركة shared hosting servers و reseller servers كإجراء وقائي ريثما يقوم معظم أصحاب المنتديات المستضافة لديهم بالتنبه وتثبيت الترقيع وهذا أمر جيد جداً منهم نأمل أن يحذو حذوه غيرهم من أصحاب هذه المزودات.

يمكن الإطلاع على تفاصيل أوفى حول الترقيع من هنا.


هل أعجبك هذا المقال؟ أخبر أصدقاءك عنه Share on Facebook0Tweet about this on TwitterShare on Google+0Share on LinkedIn0Buffer this pageEmail this to someoneShare on Reddit0Share on Tumblr0

عن كاتب المقال:

من محاربي الأسمبلي القدامى. أتقن البرمجة بالعديد من اللغات بما يتناسب مع طبيعة المشاريع التي أعمل عليها. مهتم بالنواحي الأمنية للتطبيقات المكتبية، تطبيقات الويب وأمن الشبكات والأنظمة. الرمادي هو لوني المفضّل.