Dün bir hacker tarafından internet üzerindeki 100.000’den fazla web sitesinde kullanılan bir forum paketi olan vBulletin üzerinde keşfedilen 0-day RCE güvenlik zafiyeti için exploit kodları paylaşıldı.
Bu zafiyetten yararlanabilen saldırganlar, kimlik doğrulamaya gerek kalmadan uzaktan komut çalıştırabilirler. Güvenlik açığı, vBulletin’e ait widget dosyasının URL parametreleri aracılığıyla konfigürasyonları kabul etmesi ve ardından güvenlik kontrolleri olmadan bunları sunucuda ayrıştırması sonucunda saldırganların komutları enjekte etmelerine ve sistemde uzaktan kod çalıştırabilmelerine olanak veriyor.
Güvenlik açığı henüz giderilemedi ve henüz bir CVE kodu atanmadı. vBulletin sahiplerinin zafiyeti gidermesi bekleniyor.
RAMİN KARIMKHANI
