CVE-2019-16759 – RCE no módulo PHP do vBulletin
A vulnerabilidade CVE-2019-16759 permite execução remota de código no vBulletin via o parâmetro widgetConfig[code] em requisições ajax/render/widget_php. O vetor de ataque é de rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O risco é crítico, com impacto total em confidencialidade, integridade e disponibilidade. A CISA confirma exploração ativa e exige atualização até 3 mai 2022. Prioridade máxima para mitigação.
Dados confirmados por NVD, EPSS (99.73 % de probabilidade de exploração) e inclusão no catálogo CISA KEV com prazo de mitigação obrigatório, indicando alta confiabilidade.
O que aconteceu
Um módulo PHP do vBulletin contém falha de validação de entrada que permite injetar código arbitrário através do parâmetro widgetConfig[code] em rotas ajax/render/widget_php. O CVSS 3.1 indica vetor de ataque NETWORK, complexidade LOW, privilégios NONE e UI NONE, resultando em impacto HIGH em C/I/A. O EPSS de 99.7 % indica alta probabilidade de exploração nos próximos 30 dias.
Por que isso importa
Um atacante pode obter controle total do servidor web, roubar dados de usuários, modificar conteúdo e interromper o serviço. Em ambientes de fórum, a exposição pode levar à divulgação de informações sensíveis e comprometimento de toda a infraestrutura de hospedagem.
Quem está em risco
Instalações do vBulletin versão 5.0.0 ou superior que não tenham aplicado patches. Organizações que operam fóruns públicos ou internos baseados em vBulletin, independentemente de setor ou região.
Detalhes técnicos
Exploração via requisição HTTP GET/POST a /ajax/render/widget_php com parâmetro widgetConfig[code] contendo payload PHP. CWE‑94 (Improper Control of Generation of Code). Técnicas ATT&CK: T1190 (Exploit Public-Facing Application), T1059.001 (Command Execution via PowerShell/PHP), T1566.001 (Phishing não aplicável). PoC disponível em http://packetstormsecurity.com/files/154623/vBulletin-5.x-0-Day-Pre-Auth-Remote-Command-Execution.html e http://packetstormsecurity.com/files/154648/vBulletin-5.x-Pre-Auth-Remote-Code-Execution.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o vBulletin para a versão corrigida ou superior conforme instruções do fornecedor (patch disponível após 2022-05-03)
- 2
Bloqueie ou restrinja o endpoint /ajax/render/widget_php no firewall de aplicação web ou WAF
- 3
Implemente validação estrita de entrada e desative a execução de código arbitrário via parâmetros de requisição
Sugestões de detecção
- ›
Consulte logs de acesso web (ex.: Apache access_log ou Nginx access.log) filtrando por URI contendo 'ajax/render/widget_php' e parâmetro 'widgetConfig[code]' com valores que contenham caracteres de código (e.g., '<?php','eval','system')
- ›
Crie regra no SIEM para detectar processos php-cgi iniciados a partir de requisições HTTP incomuns ou com argumentos que incluam 'widgetConfig[code]'
- ›
Configure ModSecurity ou equivalente para disparar alerta quando o corpo da requisição contém padrões de injeção PHP (e.g., '/(?:eval|assert|system|exec)/')
Falsos positivos
Sem IOCs estruturados; requisições legítimas podem usar widgetConfig[code] sem código, portanto correlacione com presença de payload PHP para reduzir falsos positivos.