vBulletin vBulletin のリモートコード実行の脆弱性（CVE-2020-17496）

何が起きた

掲示板ソフトの vBulletin で、ajax/render/widget_tabbedcontainer_tab_panel という種類のリクエストに、細工した subWidgets のデータを入れて送ると、サーバー上で命令を実行されるおそれがある弱点が見つかりました。CVE の記録によると、これは以前の弱点 CVE-2019-16759 の修正が不十分だったために残っていた問題です。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作なしで悪用できるとされています。CISA は、実際に悪用が確認されたとして KEV に載せています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、vBulletin 5.5.4 から 5.6.2 までが影響を受けます。これらのバージョンで掲示板を運営している組織や個人が対象です。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。CVE の記録には、vBulletin 5.6.0、5.6.1、5.6.2 向けのセキュリティパッチのお知らせが参照先として載っています。vBulletin の公式の案内を確認し、提供されている修正を当ててください。

やることチェックリスト

• vBulletin が 5.5.4 から 5.6.2 の間か確かめる
• vBulletin のセキュリティパッチを適用する
• メーカーの案内に従って更新する

用語メモ

リクエスト

ブラウザなどがサーバーに送る「このページやデータがほしい」というお願いのことです。

パッチ

ソフトウェアの不具合や弱点を直すために配られる修正のことです。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。