vBulletin のリモートコード実行の脆弱性（CVE-2019-16759）

何が起きた

掲示板ソフトの vBulletin で、ajax/render/widget_php という種類のリクエストに含まれる widgetConfig[code] という値を通じて、外部からコマンド（命令）を実行できてしまう弱点が見つかりました。CISA によると、この弱点は実際に悪用されています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、vBulletin 5.x から 5.5.4 までを使って掲示板を運営している人や組織が影響を受けます。修正版の番号は、このデータからは不明です。

何をすればいい

vBulletin の公式の案内を確認し、メーカーが出している修正を適用してください。影響を受ける 5.x から 5.5.4 の版を使っていないか確認し、使っている場合は修正を当てた状態にしてください。古いバージョンが使われていないか確認することも大切です。

やることチェックリスト

• vBulletin の版が 5.5.4 以前か調べる
• メーカーが出した修正を vBulletin に適用する
• 修正を当てた版で掲示板を動かす

用語メモ

vBulletin

ウェブ上の掲示板（フォーラム）を作って運営するためのソフトです。

コマンド

コンピューターに何かをさせるための命令です。攻撃者に実行されると、サーバーを好きなように操作されるおそれがあります。

リクエスト

ブラウザーなどがサーバーに送る「この処理をしてほしい」という依頼のことです。