Vulnerabilidades en vBulletin 5

Se han hecho públicos dos problemas de seguridad que afectan a vBulletin y que permitirían incluir y eliminar ficheros arbitrarios y, potencialmente, ejecutar código remoto.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

Investigadores de Truel IT han hecho públicos dos vulnerabilidades que afectan a vBulletin. El primero de los fallos de seguridad se debe a una falta de comprobación en la función 'cacheTemplates()' localizada en 'core/vb/library/template.php', donde la variable '$temnplateidlist' podría proceder directamente de la entrada del usuario y es usada sin comprobar. Aprovechando este error, un atacante remoto no autenticado podría eliminar ficheros arbitrarios del servidor.

Se propone la siguiente petición POST como prueba de concepto:

Petición POST para PoC#1

La segunda vulnerabilidad se encuentra en el parámetro 'routestring' en 'index.php' y podría permitir la inclusión de archivos en el servidor vBulletin y la ejecución de código PHP arbitrario. Esta vulnerabilidad tiene la limitación de no poder utilizar rutas que terminen con '.gif', '.png', '.jpg', '.css' o '.js' ni usar el carácter '/'. Esto último en servidores GNU/Linux imposibilita cambiar de carpeta, pero no así si vBulletin corre bajo sistemas operativos Microsoft Windows.

Si el servidor es vulnerable a este segundo error, una petición a '/index.php?routestring=.\\' obtendrá una respuesta como en la imagen siguiente:

Mensaje de error de servidor vulnerable

La inyección de código PHP se podría realizar mediante el fichero 'access.log', como muestra el ejemplo:

Petición para PoC#2

Para posteriormente realizar una petición a '/index.php?routestring=\\..\\..\\..\\path\\to\\logs\\access.log' con el resultado de la ejecución de la llamada a la función 'phpinfo', que había sido inyectada:

Resultado PoC#2

Desde el pasado 21 de Noviembre los investigadores que han descubierto estos errores han intentado comunicarse con vBulletin Solutions con resultados infructuosos, por lo que estas vulnerabilidades no se encuentran corregidas aun.

Juan José Ruiz

Más información:

vBulletin routestring Unauthenticated Remote Code Execution

https://blogs.securiteam.com/index.php/archives/3569

vBulletin cacheTemplates Unauthenticated Remote Arbitrary File Deletion

https://blogs.securiteam.com/index.php/archives/3573

Vulnerabilidades en vBulletin exponen más de 27 millones de cuentas

Más de 27 millones de cuentas de usuarios, la mayoría del dominio mail.ru, se han visto expuestas debido a vulnerabilidades no parcheadas en foros con software vBulletin.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

En total se han visto afectadas más de 27 millones de cuentas de usuario a través de casi una docena de sitios web. La mayoría de las cuentas comprometidas, hasta 25 millones, están vinculadas a los foros de tres juegos (CFire, Parapa y Tanks) alojados bajo el dominio mail.ru. También se han visto expuestas, más de 190.000 cuentas de expertlaw.com y más de 100.000 cuentas en gamesforum.com.

Según el grupo LeakedSource en torno a la mitad de contraseñas han sido fácilmente obtenidas mediante herramientas de cracking, debido a que todos los sitios usan alguna variación de MD5 con o sin salt única. Algo que como ya hemos comentado no es nada recomendable.

"Not a single website used proper password
storage, they all used some variation of
MD5 with or without unique salts."

Entre los datos filtrados se encuentran nombres de usuario, direcciones de correo, contraseñas, números de teléfono, direcciones IP y cumpleaños.

Los dominios afectados han sido:

• cfire.mail.ru
• parapa.mail.ru
• parapa.mail.ru (forums)
• tanks.mail.ru
• expertlaw.com
• ageofconan.com
• anarchy-online.com
• freeadvice.com
• gamesforum.com
• longestjourney.com
• ppcgeeks.com
• thesecretworld.com (inglés)
• thesecretworld.com (francés)
• thesecretworld.com (alemán)

Todos los sitios comprometidos funcionaban con una versión sin parchear del software vBulletin, que permitía la realización de ataques de inyección SQL a través del complemento (add-on) incluido Forumrunner en versiones anteriores a la 4.2.2 o 4.2.3. La actualización estaba disponible desde mediados de junio. Una vez más, la importancia de mantener actualizado todo el software.

La compañía Funcom ha reconocido la intrusión y el compromiso de los datos de los usuarios de los foros TheSecretWorld.com, AgeofConan.com, Anarchy-Online.com y LongestJourney.com. Aunque confirman que el software se actualizó el día 19 de agosto no pueden determinar exactamente cuando se produjo la intrusión. Como medida de seguridad temporal Funcon ha reiniciado todas las contraseñas de estos foros.

No es la primera vez que algún tipo de vulnerabilidad en este popular gestor de foros expone las cuentas de los usuarios de un foro. En 2013 se anunció una intrusión en el servidor correspondiente a los foros de la comunidad de Ubuntu (ubuntuforums.org), también se habían sustraído cuentas de correos de los usuarios así como los hashes de las contraseñas de acceso a los foros. Incluso, el propio equipo de vBulletin se vio obligado a reconocer una intrusión en su sitio oficial que comprometió hasta 480.000 cuentas de usuarios en un ataque combinado sobre la propia vBulletin.com y sobre el foro de Foxit Software.

Más información:

Leaked Source. Mail.ru

https://www.leakedsource.com/blog/mailru

una-al-dia (02/02/2016) Los sitios web que no amaban a las contraseñas

http://unaaldia.hispasec.com/2016/02/los-sitios-web-que-no-amaban-las.html

Security Update for vBulletin 4

http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4345175-security-update-for-vbulletin-4

una-al-dia (31/07/2013) Crónica del ataque a los foros de Ubuntu

http://www.hispasec.com/unaaldia/5394

una-al-dia (03/11/2015) Intrusión en los foros de vBulletin y Foxit Software

http://unaaldia.hispasec.com/2015/11/intrusion-en-los-foros-de-vbulletin-y.html

Data Breach on Funcom Forums

http://www.funcom.com/news/data_breach_on_funcom_forums

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Intrusión en los foros de vBulletin y Foxit Software

El equipo de desarrollo de vBulletin ha publicado un aviso en el que reconocen haber sufrido una intrusión en su sitio oficial que ha obligado al reinicio de todas las contraseñas de sus usuarios.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

Un intruso, apodado "ColdZer0", afirmó que se había apropiado de un total de 480.000 cuentas de usuarios en un ataque combinado sobre la propia vBulletin.com y sobre el foro de Foxit Software. Todo indica que en ambas intrusiones se ha empleado la misma vulnerabilidad 0-day.

vBulletin ha publicado un aviso en el que reconocen la intrusión y el reinicio de todas las contraseñas. De tal forma, que todos los usuarios deben proceder como cuando se olvida la contraseña y solicitar el envío de una nueva por correo.

"We take your security and privacy very seriously. Very recently, our security team discovered a sophisticated attack on our network. Our investigation indicates that the attacker may have accessed customer IDs and encrypted passwords on our systems. We have taken the precaution of resetting your account password. We apologize for any inconvenience this has caused but felt that it was necessary to help protect your account."

Como es habitual recomiendan elegir una nueva contraseña, diferente a la anterior y que no se utilice en otros sitios.

Se ha publicado el siguiente vídeo:

https://www.youtube.com/watch?v=5x4upULiQ4s

La vulnerabilidad podría permitir a un usuario malicioso realizar ataques de inyección SQL sobre la base de datos, con todas las implicaciones que ello puedo llevar. Es decir, extraer toda la información y contenido de la base de datos, e incluso a partir de ahí comprometer todo el sistema.

Más información:

Password reset invoked after vBulletin.com forum software site defaced

http://www.theregister.co.uk/2015/11/03/vbulletin_forum_software_hacked_defaced/?mt=1446575306309

vBulletin.com Password Reset

http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4332165-vbulletin-com-password-reset

vBulletin Zero-Day Used to Hack Official vBulletin Website and Foxit Software

http://news.softpedia.com/news/vbulletin-zero-day-used-to-hack-official-vbulletin-website-and-foxit-software-495620.shtml

                                                                                                  

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Cross-Site Request Forgery en el gestor de foros vBulletin

El equipo de desarrollo de vBulletin ha publicado un aviso en el que alerta de una vulnerabilidad que podría permitir a un atacante construir ataques de Cross-Site Request Forgery. 

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

Según confirma vBulletin, el problema afecta a las ramas 4 y 5. El problema se debe a un control inadecuado contra ataques CSRF (Cross-Site Request Forgery) en el Moderator Control Panel lo que podría permitir a un atacante remoto la realización de este tipo de ataques. Este tipo de vulnerabilidades permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso al servidor con los mismos permisos que el usuario atacado.

Se han publicado actualizaciones para las versiones 4.2.2 y para la 5.0.0 a la 5.1.5 que solucionan el problema, disponibles desde:

http://members.vbulletin.com/patches.php

Más información:

Security Exploit found in vBulletin 5

http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4250728-security-exploit-found-in-vbulletin-5

Security Exploit found in vBulletin 4

http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4250687-security-exploit-found-in-vbulletin-4

vBulletin Moderator Control Panel 4.2.2 CSRF

http://packetstormsecurity.com/files/129619/vBulletin-Moderator-Control-Panel-4.2.2-CSRF.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Inyección SQL en el gestor de foros vBulletin

El equipo de desarrollo de vBulletin ha publicado un aviso en el que alerta de una vulnerabilidad de inyección SQL.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

Según confirma vBulletin, el problema afecta a las versiones 5.0.4, 5.0.5, 5.1.0, 5.1.1 y 5.1.2. El grupo Romanian Security Team (RST) ha publicado un vídeo en el que se muestra la vulnerabilidad y confirma el reporte a vBulletin, que ofrecerán todos los detalles tras la publicación del parche.

                       https://www.youtube.com/watch?v=C84Z2yCGKAE

La vulnerabilidad podría permitir a un usuario malicioso realizar ataques de inyección SQL sobre la base de datos, con todas las implicaciones que ello puedo llevar. Es decir, extraer toda la información y contenido de la base de datos, e incluso a partir de ahí comprometer todo el sistema.

Por ejemplo podemos recordar el caso del ataque a los foros de Ubuntu, donde al atacante le bastó conseguir una cuenta de moderador de los foros para obtener las cuentas de todos los usuarios y los hashes de sus contraseñas.

vBulletin también ha confirmado que como parte de su mantenimiento todos los Cloud Sites, también han sido actualizados.

Más información:

Security Patch Release for vBulletin 5.0.4, 5.0.5, 5.1.0, 5.1.1, and 5.1.2

http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4097503-security-patch-release-for-vbulletin-5-0-4-5-0-5-5-1-0-5-1-1-and-5-1-2

una-al-dia (31/07/2013) Crónica del ataque a los foros de Ubuntu

http://unaaldia.hispasec.com/2013/07/cronica-del-ataque-los-foros-de-ubuntu.html

[RST] vBulletin 5.1.2 SQL Injection

https://www.youtube.com/watch?v=C84Z2yCGKAE

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Crónica del ataque a los foros de Ubuntu

El pasado día 21 de julio Canonical anunciaba la detección de una intrusión en el servidor correspondiente a los foros de la comunidad de Ubuntu (ubuntuforums.org). Los datos sustraídos comprendían las cuentas de correos de los usuarios así como los hashes de las contraseñas de acceso a los foros.

Días después, Canonical, ha publicado un interesante estudio sobre como se efectuó el ataque a sus foros.

ubuntuforums.org usa el software vBulletin para la gestión de los foros. vBulletin está basado en PHP, posee licencia propietaria, y su desarrollo se inició en el año 2000. La última versión publicada data del 25 de mayo de 2012, hace más de un año.

Según parece, el atacante consiguió una cuenta de moderador de los foros y accedió con ella el 14 de julio. Aunque en principio no tienen claro como la obtuvo, los privilegios de esta cuenta permiten a un moderador publicar comunicados (announcements) con contenido HTML sin filtrar, posibilitando que el atacante inyectara código javascript dentro del mismo. Esto convertía la página en una trampa, ya que todo usuario registrado que la visitara ejecutaría el código incrustado en su navegador. Evidentemente la intención era extraer las cookies de sesión de cuentas más privilegiadas.

Publicado el comunicado, el atacante envió un mensaje privado a tres administradores. En dicho mensaje les informaba que se producía un error de servidor en la página de comunicados y les conminaba a  visitar dicha página.

Uno de los administradores visitó la página que el atacante preparó y no observando nada anormal respondió al atacante. Este último ya se habría logueado con la sesión del administrador, al haber sido extraída su cookie de sesión, elevando así sus privilegios en vBulletin.

Ahora con una cuenta de administrador y a través de una funcionalidad propia de vBulletin, el atacante podía ejecutar código PHP. Con esto consiguió subir dos shells en PHP y a través de ellas hizo un volcado de la base de datos (MySQL) asociada a los foros. Posteriormente volvió a loguearse el día 20 de julio para cambiar la página de inicio por un mensaje reivindicando el ataque.

Como podemos observar en este ataque, la elevación de privilegios no es un concepto aislado del sistema operativo, tiene su correspondencia en la web, perfectamente extrapolable. Los administradores de los foros no tienen claro que tipo de código javascript se usó en la página creada por el atacante, esta fue borrada por uno de los administradores.

Aun así, podemos ver aquí el ejemplo perfecto de lo que supone una vulnerabilidad de Cross-site scripting (del tipo permanente). A menudo infravalorada, ya que cuesta demostrar su verdadero impacto y entenderla, este tipo de vulnerabilidad se califica de gravedad alta en las auditorias, mientras que su percepción por parte del personal no relacionado con seguridad es habitualmente menor.

También se evidencia aquí un vector interesante: la ingeniería social. El mensaje convincente de un moderador sobre un tipo de error casual. Este hecho causa un elemento de confianza en el administrador, mientras que el tipo de mensaje, una petición poco sospechosa (¿Quien no ha visto un error HTTP 500 de manera casual?) y que no deriva en ninguna actuación adicional (caso cerrado) hace que el administrador baje la guardia ante un problema que no existe y se olvide pronto de este evento.

El resto del ataque no se diferencia más de otros: subir una shell y el resto es historia.  

Nos queda una pieza para completar el puzzle y es la forma en la que se hizo con la cuenta de moderador (no son empleados, son voluntarios), no se aportan detalles, tan solo, Canonical, afirma no conocer como el atacante consiguió esta cuenta. También destaca el hecho de que el atacante se logueara por primera vez el día 14 de julio y concluyera el ataque el día 20. Una paciencia estratégica.

Más información:

Notice of security breach on Ubuntu Forums site

http://blog.canonical.com/2013/07/21/notice-of-security-breach-on-ubuntu-forums-site/

Ubuntu Forums are back up and a post mortem

http://blog.canonical.com/2013/07/30/ubuntu-forums-are-back-up-and-a-post-mortem/

David García

dgarcia@hispasec.com

Twitter: @dgn1729

Cross site scripting en vBulletin 4.1.x

El conocido software escrito en PHP para creación de foros en Internet es vulnerable a ataques de Cross Site Scripting (XSS).

El equipo de vBulletin ha publicado un informe anunciando tres vulnerabilidades Cross Site Scripting. Se deben a errores de filtrado en determinados parámetros de entrada, que no han sido especificados, en los archivos siguientes:

• includes/version_vbulletin.php
• clientscript/ckeplugins/bbcode/plugin.js
• clientscript/ckeditor/ckeditor.js

Estas vulnerabilidades podrían ser explotadas por un atacante remoto para ejecutar código HTML o JavaScript arbitrario en el navegador de un usuario que visite una página web maliciosa, bajo el contexto de la web atacada.

Las versiones que se ven afectadas por estas vulnerabilidades son las comprendidas entre la 4.1.4 y la 4.1.11 tanto en la modalidad 'Forum' como 'Publishig Suite'. Según el equipo de vBulletin, las versiones 4.1.3 y anteriores no se ven afectadas, y tampoco la rama 3.x.

vBulletin ha publicado un parche que corrige estas vulnerabilidades. Se encuentra disponible para su descarga desde la página oficial.

Más información:

vBulletin Security Patch for vBulletin 4.1.4 - 4.1.11 for Suite & Forum

https://www.vbulletin.com/forum/showthread.php/398716-vBulletin-Security-Patch-for-vBulletin-4-1-4-4-1-11-for-Suite-amp-Forum-03-23-2012

vBulletin patch download

http://members.vbulletin.com/

Juan José Ruiz

jruiz@hispasec.com