CVE-2020-17496 – RCE no módulo PHP do vBulletin
A vulnerabilidade CVE-2020-17496 permite execução remota de código no módulo PHP do vBulletin através de requisições manipuladas. O vetor de ataque é de rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O risco é crítico, com impacto total em confidencialidade, integridade e disponibilidade. A exploração já está confirmada em ambientes reais e o EPSS indica 87,5% de chance de exploração nos próximos 30 dias. A prioridade de mitigação é alta.
Os dados são confirmados por múltiplas fontes: NVD (CVSS detalhado), EPSS (alta probabilidade de exploração) e CISA KEV (exploração ativa confirmada e ação obrigatória).
O que aconteceu
Um atacante envia dados especialmente formatados no parâmetro subWidgets de uma requisição HTTP POST para /ajax/render/widget_tabbedcontainer_tab_panel. O módulo PHP processa esses dados sem sanitização, resultando em execução arbitrária de código no servidor. O CVSS 3.1 (9.8) reflete ataque de rede, baixa complexidade, sem privilégios nem interação do usuário, gerando impactos máximos. O EPSS de 87,5% indica que exploits estão amplamente disponíveis e que a exploração é provável em curto prazo.
Por que isso importa
A execução de código remoto pode comprometer todo o site vBulletin, permitindo roubo de dados de usuários, modificação de conteúdo e uso do servidor como pivô para ataques internos. Serviços críticos podem ficar indisponíveis, gerando perdas financeiras e de reputação. Organizações que dependem de vBulletin para fóruns ou comunidades ficam expostas a comprometimento total do ambiente web.
Quem está em risco
Instalações do vBulletin versão 5.5.4 ou superior até 5.6.2, em qualquer setor ou região que utilize o software para gerenciamento de fóruns. Ambientes web expostos à internet são particularmente vulneráveis.
Detalhes técnicos
Vetores de ataque: NETWORK, Complexidade: LOW, Privilégios: NONE, Interação do usuário: NONE. CWE-74 (Injeção de elementos especiais). Exploração via injeção de payload no parâmetro subWidgets de ajax/render/widget_tabbedcontainer_tab_panel. Técnicas ATT&CK: T1190 (Exploit Public-Facing Application), T1059 (Command and Scripting Interpreter) para execução de comandos PHP. Exploits públicos disponíveis: https://blog.exploitee.rs/2020/exploiting-vbulletin-a-tale-of-patch-fail/, https://seclists.org/fulldisclosure/2020/Aug/5.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o vBulletin para a versão 5.6.2 ou superior, conforme instruções do fornecedor.
- 2
Verifique a aplicação do patch confirmando a presença das correções nos arquivos PHP modificados e teste funcionalmente após a atualização.
- 3
Implemente regras de WAF que bloqueiem requisições POST ao endpoint /ajax/render/widget_tabbedcontainer_tab_panel contendo parâmetros subWidgets suspeitos ou payloads não‑JSON.
Sugestões de detecção
- ›
Consultar logs de servidor web (Apache/Nginx) por requisições POST a /ajax/render/widget_tabbedcontainer_tab_panel com o parâmetro subWidgets; filtrar por payloads que contenham strings de código PHP (ex.: "<?php" ou "eval").
- ›
Monitorar processos PHP/Cgi recém‑iniciados que executam comandos inesperados ou criam arquivos executáveis em diretórios temporários; correlacionar com eventos de criação de arquivos suspeitos via Sysmon EventID 11.
Falsos positivos
Requisições legítimas ao endpoint podem conter o parâmetro subWidgets; portanto, alertas baseados apenas na presença do parâmetro podem gerar falsos positivos. Correlacione com conteúdo do payload e comportamento do processo para reduzir ruído.