На форуме phpBB исправлена ошибка обхода аутентификации, существовавшая уже десять лет.

[zender]

В программном обеспечении форума phpBB обнаружена уязвимость, позволяющая обойти систему аутентификации, которая существует уже 10 лет. Она дает злоумышленнику возможность войти в систему под любой учетной записью, включая администраторов.


У этой уязвимости нет идентификатора, и её легко использовать с помощью одного HTTP-запроса. Она затрагивает версии phpBB 4.0.0-a2 или 3.3.16 и ниже.


Исследователи из компании Aikido, занимающейся информационной безопасностью приложений, обнаружили ошибку 2 июня и сообщили о ней через программу HackerOne Vulnerability Disclosure Program.

Разработчики phpBB незамедлительно отреагировали на сообщение и устранили проблему 6 июня в версии 3.3.17 программного обеспечения.


По данным Aikido, уязвимость была внесена в код phpBB 10 лет назад и затронула все версии веток релизов 3.x и 4.x, вплоть до 3.3.16 и 4.0.0-a2. Для версии 4.x исправление пока недоступно.


phpBB — это бесплатная веб-платформа для форумов на основе PHP с открытым исходным кодом, которая пользовалась наибольшей популярностью в 2000-х и начале 2010-х годов. Сегодня она по-прежнему используется на тысячах форумов по всему миру.


В айкидо утверждают, что для использования этой уязвимости не требуется специальная настройка, поскольку она активируется при стандартных параметрах.


«Уязвимость может быть использована в конфигурации по умолчанию и не требует специальных знаний», — говорится в отчете айкидо .


«Если у вас установлена версия 4.0.0-a2 или 3.3.16 и ниже, немедленно обновитесь до основной ветки (безопасного релиза версии 4.x пока нет) и версии 3.3.17 соответственно, чтобы избежать компрометации».


Доступ администратора может позволить злоумышленникам просматривать все личные сообщения, хранящиеся на форуме, создавать, изменять или удалять контент и учетные записи пользователей, выдавать себя за сотрудников или взламывать сайты.


Выбор целей также не представляет сложности, поскольку список участников на форумах phpBB по умолчанию является общедоступным.


В айкидо отмечается, что удаленное выполнение кода (RCE) невозможно из-за отдельной проверки пароля, защищающей панель управления администратора.


Исследователи пока не разглашают все технические подробности, чтобы дать администраторам форумов достаточно времени для установки обновлений безопасности, и даже связались с администраторами крупных форумов на основе phpBB, чтобы уведомить их напрямую.


Следует отметить, что обновление может привести к сбоям в работе форумов, использующих аутентификацию OAuth, поскольку обработчик перенаправления OAuth перемещен в новое место, но в большинстве случаев это должно быть легко исправлено.


Айкидо пообещало опубликовать полные подробности об обнаруженной уязвимости в будущем отчете, но не назвало конкретных сроков.