Uma falha de bypass de autenticação, descoberta no software de fórum phpBB e existente há 10 anos, permite que um invasor faça login como qualquer usuário, inclusive administradores.
A vulnerabilidade não tem identificador e é trivial de explorar com uma única requisição HTTP.
O problema afeta as versões 4.0.0-a2 e 3.3.16 ou anteriores.
Pesquisadores da empresa de segurança de aplicações Aikido encontraram o bug em 2 de junho e o reportaram por meio do programa HackerOne de divulgação de vulnerabilidades do desenvolvedor.
O phpBB respondeu imediatamente ao aviso e corrigiu a falha em 6 de junho, na versão 3.3.17 do software.
Segundo a Aikido, a falha foi introduzida no código-fonte do phpBB há 10 anos, afetando todas as versões das linhas 3.x e 4.x, até a 3.3.16 e a 4.0.0-a2.
No caso da linha 4.x, ainda não há correção disponível.
O phpBB é uma plataforma de fóruns na web gratuita e de código aberto, baseada em PHP, que teve seu auge de popularidade nos anos 2000 e no início da década de 2010.
Hoje, ainda movimenta milhares de fóruns em todo o mundo.
A Aikido afirma que a exploração do bug não exige configuração especial, já que ele pode ser acionado com as definições padrão.
“A vulnerabilidade é explorável na configuração padrão e não requer conhecimento especial”, diz o relatório da Aikido.
“Se você estiver na versão 4.0.0-a2 ou 3.3.16 e anteriores, atualize imediatamente para o master, sem uma versão 4.x segura ainda, e para a 3.3.17, respectivamente, para evitar comprometimento.”
O acesso de administrador poderia permitir que invasores vissem todas as mensagens privadas armazenadas no fórum, criassem, modificassem ou excluíssem conteúdos e contas de usuários, se passassem por funcionários ou alterassem a aparência dos sites.
A escolha dos alvos também é simples, já que a lista de membros dos fóruns phpBB é pública por padrão.
A Aikido observa que a execução remota de código, ou RCE, não é possível por causa de uma verificação de senha separada que protege o Painel de Controle do Administrador.
Os pesquisadores omitiram os detalhes técnicos por enquanto para dar tempo aos administradores de fóruns de aplicarem as atualizações de segurança e chegaram a contatar diretamente responsáveis por grandes fóruns baseados em phpBB para alertá-los.
Um ponto importante é que a atualização pode quebrar fóruns que usam autenticação OAuth, porque o manipulador de redirecionamento do OAuth foi movido para um novo local.
Ainda assim, na maioria dos casos, a correção deve ser simples.
A Aikido prometeu publicar os detalhes completos da falha em um relatório futuro, mas não informou uma data específica.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...