AG公司云
【清静威胁通告】vBulletin远程代码执行误差（CVE-2019-16759）
2019-09-27
综述
vBulletin是一款强盛，无邪并可完全凭证自己的需要定制的论坛程序套件。只管是商业产品，但从市场份额和现实使用量上看，vBulletin照旧当今最受接待的Web论坛软件包。
外地时间24号，据外媒报道，有匿名清静研究员在果真邮件列表中宣布了vBulletin的一个0day误差详情。该误差允许攻击者在不拥有目的论坛账户的情形下，在运行vBulletin的服务器上执行Shell下令，是一个无需身份验证的远程代码执行误差。
误差果真宣布之初，尚不清晰匿名研究职员是否向vBulletin团队报告了该误差或者vBulletin团队是否未能实时解决此问题，从而促使研究职员果真宣布。该0day仅影响vBulletin 5.x版本。
在以后的几天内，有组织报告发明有在野攻击者试图使用CVE-2019-16759举行攻击。一些vBulletin论坛的治理员也反应在该误差披露后，治理的网站上泛起了web shell。
外地时间26日，vBulletin开发者宣布了针对该误差的补丁。请相关用户参考以下清静建议举行修复。
参考链接：
[1]https://www.zdnet.com/article/anonymous-researcher-drops-vbulletin-zero-day-impacting-tens-of-thousands-of-sites/
[2]果真邮件列表
https://seclists.org/fulldisclosure/2019/Sep/31
[3]http://feedproxy.google.com/~r/Securityweek/~3/MqX-Favv0oU/vbulletin-patches-vulnerability-exploited-wild
[4]官方通告
https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4422707-vbulletin-security-patch-released-versions-5-5-2-5-5-3-and-5-5-4
清静建议
vBulletin官方已宣布针对以下版本的清静补�。肭巴鵫ttps://www.vbulletin.com/en/customer/account/login/?goto=aHR0cHM6Ly9tZW1iZXJzLnZidWxsZXRpbi5jb20vcGF0Y2hlcy5waHA%3D 下载：
l 5.5.4 Patch Level 1
l 5.5.3 Patch Level 1
l 5.5.2 Patch Level 1
建议使用5.5.2之前版本的用户尽快升级到受�；さ陌姹�。
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于AG公司科技
北京神州AG公司信息清静科技股份有限公司（简称AG公司科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
北京神州AG公司信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市，股票简称：AG公司科技，股票代码：300369。
