「vBulletin」に脆弱性、過去のパッチ不備で問題再燃 - すでに攻撃も

フォーラム構築ソフト「vBulletin」にリモートよりコマンドの実行が可能となる脆弱性「CVE-2020-17496」が明らかとなった。エクスプロイトコードが公開されており、すでに攻撃が確認されている。

今回明らかとなった「CVE-2020-17496」は、リモートよりコマンドの実行が可能となる脆弱性。セキュリティ研究者であるAmir Etemadieh氏が8月9日に実証コードなどとともに公開した。2019年9月に判明した既知の脆弱性「CVE-2019-16759」に対する修正パッチが不十分だったと同氏は指摘している。

問題の「CVE-2019-16759」は、認証なしにコマンドの実行が可能となる脆弱性。修正プログラムの公開前に実証コード（PoC）が公開され、ゼロデイ攻撃が発生。同ソフトの開発元であるMH Sub Iでは、セキュリティパッチ「同5.5.4 Patch Level 1」「同5.5.3 Patch Level 1」「同5.5.2 Patch Level 1」を2019年9月26日にリリースした。