CVE-2020-22612

RCE w instalatorze MyBB poprzez zapis pliku konfiguracyjnego

CVSS 9.8v3.1pub. 2023-09-01upd. 2024-11-21

Podatność w instalatorze MyBB przed wersją 1.8.22 umożliwia zdalne wykonanie kodu (RCE) podczas operacji zapisu pliku ustawień. Krytyczna ocena CVSS 9.8 wskazuje na możliwość pełnego przejęcia kontroli nad serwerem bez jakiejkolwiek autoryzacji.

▸ Pokaż oryginał (EN)

Installer RCE on settings file write in MyBB before 1.8.22.

🤖 Analiza AI

Jak działa

Mechanizm podatności (sklasyfikowany jako CWE-94 — code injection) polega na możliwości wstrzyknięcia złośliwego kodu podczas procesu instalacji, w momencie gdy instalator zapisuje plik konfiguracyjny (settings file). Atakujący może dostarczyć spreparowane dane wejściowe, które zostaną osadzone w pliku konfiguracyjnym i następnie wykonane po stronie serwera. Podatność jest dostępna sieciowo, nie wymaga uwierzytelnienia ani interakcji użytkownika.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem — w tym dostęp do poufnych danych, możliwość modyfikacji zawartości oraz trwałe zakłócenie działania aplikacji (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zaktualizować MyBB do wersji 1.8.22 lub nowszej. Szczegóły patcha dostępne są pod adresem: https://mybb.com/versions/1.8.22/. Dodatkowo zaleca się upewnienie się, że katalog instalatora jest niedostępny publicznie po zakończeniu procesu instalacji.