MyBBのアップグレードコンポーネントにローカルファイルインクルージョン (Local File Inclusion, LFI) の脆弱性

このLFI脆弱性は、攻撃者がMyBBフォーラムのインストールディレクトリにアクセスできる場合に悪用されます。具体的には、インストーラがロック解除されており（install/lockファイルが存在しない）、アップグレードスクリプト（install/index.phpへのアクセス、または管理者権限での認証）にアクセスできる必要があります。成功した場合、攻撃者はサーバー上の任意のファイル（設定ファイル、ソースコードなど）を読み取ることができ、機密情報の漏洩や、さらなる攻撃への足がかりを得る可能性があります。この脆弱性は、MyBBのセキュリティを著しく損ない、システム全体の信頼性を脅かす可能性があります。

Organizations running MyBB forum software, particularly those using older, unpatched versions (≤ 1.8.39), are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability on one user's forum and gain access to other users' data.

• php: Examine web server access logs for requests containing unusual parameters in the install/index.php URL. Look for patterns indicative of file path traversal attempts.

grep 'install/index.php[?&].*' /var/log/apache2/access.log

• php: Check for the presence of the install/lock file. Its absence indicates a potential vulnerability.

ls -l /path/to/mybb/install/lock

• generic web: Monitor file system integrity for unexpected modifications to sensitive files, particularly those related to MyBB configuration. • generic web: Review MyBB forum administrator accounts for suspicious login activity or unauthorized access attempts.

1. 2025-06-02Disclosure

   disclosure

1. 予約済み2025-05-28
2. 公開日2025-06-02
3. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、MyBBをバージョン1.8.39にアップデートすることです。アップデートが利用できない場合、または互換性の問題が発生する場合は、install/index.phpへのアクセスを制限するWebアプリケーションファイアウォール（WAF）ルールを実装することを検討してください。また、install/lockファイルが存在しない場合は、作成してインストーラへの不正アクセスを防ぐことも有効です。アップデート後、MyBBのバージョンを確認し、脆弱性が修正されていることを確認してください。