Deutsch | English

Cross-Site-Scripting Schwachstelle in Forensoftware vBulletin

20. Juni 2012

CERT.at ersucht um Beachtung der folgenden Meldung.

Aufgrund der hohen Verbreitung der Forensoftware vBulletin in Öerreich haben wir uns entschlossen folgende Warnung herauszugeben.

Beschreibung

In der Kalenderfunktion der Forensoftware vBulletin, zumindest in der aktuellen Version 4.2.0, kann eine Cross-Site-Scripting (XSS) Schwachstelle ausgenutzt werden, die u.a. zum Stehlen von Cookies führen kann.

Auswirkungen

Ein Angreifer könnte durch das Ausnutzen dieser Schwachstelle die Cookies eines angemeldeten Benutzers ausspähen und unter Umständen Administrationsrechte erlangen. Weitere Szenarien, wie z.B. das Umleiten auf speziell präparierte Webseiten, sind auch denkbar.

Abhilfe

Die Entwickler haben bereits einen Patch(Patchseite, Hinweis auf den Patch) veröffentlicht, der sich dieser Lücke annimmt.

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software aktiv und den Virenschutz aktuell zu halten.

Informationsquelle(n):

VBulletin Webseite
https://www.vbulletin.com/
Patchseite VBulletin
https://members.vbulletin.com/patches.php
Hinweis von VBulletin auf den Patch
https://www.vbulletin.com/forum/showthread.php/403211-vBulletin-Security-Patch-for-vBulletin-4-2-%28Suite-amp-Forum%29-Only-06-18-2012?p=2306251#post2306251
Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Kritische Schwachstelle in bzip2 - je nach Setup für RCE ausnutzbar
24. Juni 2019 | Beschreibung In ...
Kritische RCE Schwachstelle in Oracle WebLogic Server
19. Juni 2019 | Beschreibung | Mehrere ...
mehr ...
Das CERT, das Wolf rief
11. Juni 2019 | Die Fabel ...
CEO Fraud goes WhatsApp
24. Mai 2019 | Uns wurde ...
mehr ...
Jahresbericht 2017
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2013/7/17 - 17:00:08
Haftungsausschluss / Datenschutzerklärung