Falla 0-day in vBulletin: a rischio password e account

vBulletin, uno dei software più diffusi per la gestione di forum e comunità online, è sotto attacco: la recente scoperta di una falla 0-day ha messo a rischio account e password di milioni di utenti. A comunicarlo lo stesso supporto tecnico del software.

Recentemente il nostro team di sicurezza ha scoperto dei sofisticati attacchi al nostro network, che hanno incluso l’accesso illegale alle informazioni degli utenti dei forum, possibilmente anche delle loro password. Le nostre indagini al momento indicano che i malintenzionati hanno avuto accesso agli ID dei clienti e alle password criptate dei nostri sistemi. Per precauzione, abbiamo resettato le password di tutti gli account.

La falla individuata in vBulletin potrebbe aver consentito il recente attacco al forum di MacRumors – uno dei più frequentati siti dedicati all’universo Apple. I cracker sono riusciti a ottenere accesso a oltre 860.000 hash crittografati delle password degli utenti, tanto da richiedere la momentanea sospensione del forum stesso e il reset di tutti gli account.

Dietro all’attacco a vBulletin ci sarebbe il team Inj3ct0r che su Facebook ha pubblicato un post rivendicando le azioni contro vBulletin.com e MacRumors:

Inj3ct0r Team hacked vBulletin.com and Macrumors.com

Inj3ct0r Team hacked the big CMS vendor vBulletin.com

We got shell , database and root server. We wanted to prove that nothing in this world is not safe.

We found a critical vulnerability in vBulletin all versions 4.x.x and 5.?.x

Al momento, non è ancora disponibile una patch per chiudere la falla, così sempre più amministratori hanno deciso di sospendere le attività dei forum in attesa di una soluzione definitiva.

Fonte: Ars Technica