CVE-2016-9412

MyBB i MyBB Merge System — niskie entropia adminsid/sid umożliwia atak

CVSS 9.8v3.0pub. 2017-01-31upd. 2026-05-13

MyBB (MyBulletinBoard) oraz MyBB Merge System w wersjach przed 1.8.7 są podatne na ataki wynikające z niewystarczającej entropii identyfikatorów sesji administracyjnych (adminsid) i ogólnych (sid). Podatność otrzymała ocenę krytyczną CVSS 9.8, co wskazuje na możliwość poważnych konsekwencji bez wymagania uwierzytelnienia.

▸ Pokaż oryginał (EN)

MyBB (aka MyBulletinBoard) before 1.8.7 and MyBB Merge System before 1.8.7 allow attackers to have unspecified impact via vectors related to low adminsid and sid entropy.

🤖 Analiza AI

Jak działa

Problem polega na zbyt niskiej entropii generowanych identyfikatorów sesji — zarówno administracyjnych (adminsid), jak i zwykłych (sid). Niska entropia oznacza, że przestrzeń możliwych wartości identyfikatorów jest na tyle mała, że atakujący może przewidzieć lub odgadnąć prawidłowy identyfikator sesji metodą brute-force lub analizy statystycznej. Przejęcie ważnego identyfikatora sesji może umożliwić podszywanie się pod innego użytkownika lub administratora systemu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do kont użytkowników lub kont administracyjnych systemu MyBB, co potencjalnie prowadzi do pełnego przejęcia kontroli nad aplikacją, jej danymi i konfiguracją.

Mitygacja

Należy zaktualizować MyBB oraz MyBB Merge System do wersji 1.8.7 lub nowszej, w której producent poprawił mechanizm generowania identyfikatorów sesji. Szczegóły dostępne w oficjalnym ogłoszeniu producenta: https://blog.mybb.com/2016/03/11/mybb-1-8-7-merge-system-1-8-7-release/

Kogo dotyczy

MyBB (MyBulletinBoard) w wersjach przed 1.8.7 oraz MyBB Merge System w wersjach przed 1.8.7.

Uwagi

Podatność została ujawniona publicznie na liście oss-security w listopadzie 2016 roku, natomiast patch w wersji 1.8.7 został wydany wcześniej — w marcu 2016 roku, co oznacza, że systemy nieaktualizowane były narażone przez długi okres.