vBulletin, forum a rischio attacco 0-day

Gli sviluppatori di vBulletin hanno rilasciato alcune patch correttive per le versioni attualmente supportate del popolare CMS Open Source per la realizzazione di forum discussione, un'applicazione che sarebbe a rischio a causa di una vulnerabilità di sicurezza già attivamente sfruttata dai cyber-criminali.

In ogni caso la società produttrice ammette l’esistenza di un bug pericoloso nelle versioni hosted o self-hosted (vBulletin Cloud) di vBulletin, distribuendo patch di aggiornamento per le release vulnerabili del bulletin board engine che vanno dalla 5.1.4 alla 5.1.9. Le versioni self-hosted su vBulletin Cloud sarebbero già state aggiornate.

A causa della falla, ricorda ancora il team di vBulletin, ignoti cyber-criminali avrebbero avuto accesso a un gran numero di profili utenti con tanto di password cifrate; come misura di sicurezza aggiuntiva, gli sviluppatori hanno imposto il reset della password obbligatorio a tutti i propri utenti.

La potenziale gravità del (nuovo) problema di sicurezza di vBulletin assume poi toni inquietanti se si prendono in considerazione le dichiarazioni di “Coldzer0”, cracker dall’identità fittizia che sostiene di aver avuto accesso alle informazioni personali di circa 480.000 diversi utenti e di voler vendere la falla – oramai chiusa – al miglior offerente.

Via | vBulletin