Kerentanan bypass otentikasi berusia 10 tahun yang ditemukan di perangkat lunak forum phpBB memungkinkan penyerang untuk masuk sebagai pengguna mana pun, termasuk administrator.
Cacat ini tidak memiliki pengidentifikasi dan mudah dieksploitasi dengan satu permintaan HTTP. Ini berdampak pada phpBB versi 4.0.0-a2 atau 3.3.16 dan di bawahnya.
Para peneliti di perusahaan keamanan aplikasi Aikido menemukan bug tersebut pada tanggal 2 Juni dan melaporkannya melalui Program Pengungkapan Kerentanan HackerOne milik pengembang.
phpBB segera menanggapi laporan tersebut dan mengatasi masalah tersebut pada tanggal 6 Juni versi 3.3.17 perangkat lunak.
Menurut Aikido, kelemahan tersebut diperkenalkan pada basis kode phpBB 10 tahun yang lalu, berdampak pada semua versi cabang rilis 3.x dan 4.x, hingga 3.3.16 dan 4.0.0-a2. Untuk rilis 4.x, belum ada perbaikan yang tersedia.
phpBB adalah platform forum web sumber terbuka dan gratis berbasis PHP yang mencapai puncak popularitasnya pada tahun 2000an dan awal 2010an. Saat ini, ia masih mendukung ribuan forum di seluruh dunia.
Aikido mengatakan bahwa mengeksploitasi bug tidak memerlukan konfigurasi khusus, karena dapat dipicu pada pengaturan default.
“Kerentanan dapat dieksploitasi dalam konfigurasi default dan tidak memerlukan pengetahuan khusus,” membaca laporan Aikido.
“Jika Anda menggunakan versi 4.0.0-a2 atau 3.3.16 dan di bawahnya, segera tingkatkan ke master (belum ada rilis 4.x yang aman) dan 3.3.17, untuk menghindari kompromi.”
Akses administrator dapat memungkinkan penyerang melihat semua pesan pribadi yang disimpan di forum, membuat, mengubah, atau menghapus konten dan akun pengguna, menyamar sebagai staf, atau merusak situs.
Memilih target juga mudah, karena daftar anggota di forum phpBB bersifat publik secara default.
Aikido mencatat bahwa eksekusi kode jarak jauh (RCE) tidak dimungkinkan karena pemeriksaan kata sandi terpisah yang melindungi Panel Kontrol Admin.
Para peneliti menyembunyikan semua rincian teknis untuk saat ini agar administrator forum memiliki cukup waktu untuk menerapkan pembaruan keamanan dan bahkan menghubungi administrator forum besar berbasis phpBB untuk memperingatkan mereka secara langsung.
Satu hal yang perlu diperhatikan adalah bahwa pembaruan dapat menyebabkan forum yang menggunakan autentikasi OAuth rusak, karena pengendali pengalihan OAuth telah dipindahkan ke lokasi baru, namun hal ini seharusnya menjadi perbaikan sederhana dalam banyak kasus.
Aikido berjanji untuk mempublikasikan rincian lengkap dari kelemahan tersebut dalam laporan mendatang, namun tidak memberikan jangka waktu spesifik.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
