Zero-Day-Lücke in vBulletin betrifft Zehntausende Internet-Foren

Ein anonymer Sicherheitsforscher hat auf Full Disclosure alle Details zu einer Sicherheitslücke in der Foren-Software vBulletin veröffentlicht. Ein Angreifer ist unter Umständen in der Lage, Shell-Befehle auf dem Server auszuführen, auf dem die vBulletin-Software läuft. Sicherheitsexperten befürchten nun, dass die Preisgabe der Schwachstelle eine Welle von Hackerangriffen auf Internet-Foren nach sich ziehen könnte.

Einer Analyse des veröffentlichten Proof-of-Concept-Codes zufolge benötigt ein Angreifer kein Konto für das von ihm ausgewählte Forum. Die Remotecodeausführung erfolgt also vor einer möglichen Authentifizierung, was als besonders kritisch eingestuft wird.

Unklar ist derzeit noch, ob der anonyme Forscher zuvor den Herausgeber von vBulletin kontaktiert hat oder nicht. Üblicherweise geben Forscher den Anbietern von Software mehrere Woche oder auch Monate Zeit, einen Fix bereitzustellen, bevor sie eine Schwachstelle beispielsweise auf Full Disclosure öffentlich machen. Da der Forscher für seinen Eintrag in der Mailing-Liste einen anonymen E-Mail-Dienst nutze, ist es auch nicht möglich, ihn zu kontaktieren.

vBulletin ist die wohl beliebteste Software zum Betreiben von Internetforen. W3Techs schätzt, dass rund 0,1 Prozent aller Websites über eine vBulletin-Forum verfügen. Insgesamt könnten somit Zehntausende Websites anfällig sein. vBulletin selbst nennt unter anderem Steam, EA, Zynga, Sony oder Sportmannschaften wie die Houstan Texans und die Denver Broncos als Kunden.

Allerdings wird die Zahl der Betroffenen dadurch eingeschränkt, dass der Fehler nur in der Version 5.x von vBulletin steckt. Ältere Versionen sollten also, vorausgesetzt es wurden alle verfügbaren Patches installiert, sicher sein.

Das auf den Ankauf von Sicherheitslücken spezialisierte Unternehmen Zerodium ist übrigens auch an Schwachstellen in vBulletin informiert. Für einen Bug wie die vorliegende Zero-Day-Lücke hätte der anonyme Forscher von Zerodium bis zu 10.000 Dollar erhalten. Da auch Untergrundforen im Dark Web vBulletin nutzen, haben vor allem Strafverfolgungsbehörden ein Interesse an Lücken in der Forensoftware.