(Web) sunucu yönetimine yönelik CyberPanel kontrol paneli yazılımında iki güvenlik açığı bildirildi. Siteler arası komut dosyası çalıştırmaya veya kötü amaçlı kod ekleme saldırılarına olanak tanırlar.
Duyuru
Güvenlik kusurlarından biri, belirteçler veya kullanıcı adları kullanılarak siteler arası komut dosyası çalıştırılmasına izin veriyor plogical/phpmyadminsignin.php (CVE-2024-56112). Bu, kullanıcılara manipüle edilmiş bağlantılar kullanılarak kendi bağlamlarında çalışan kodların sağlanabileceği anlamına gelir. Geliştiriciler kaynak kodundaki boşluğu 11 Kasım'da kapattı.
Uzaktan komuta kaçakçılığı
İkinci güvenlik açığı CyberPanel'i 2.3.8 sürümünden önce etkiliyor ve saldırganların yazılıma giriş yaptıktan sonra kabuk meta karakterleriyle rastgele komutlar vermesine olanak tanıyor phpSelection-alanı websites/submitWebsiteCreation-URI enjekte edilecek ve yürütülecek (CVE-2024-53376).
CyberPanel 2.3.8 sürümü 1 Kasım'da yayınlandı. Siteler arası komut dosyası çalıştırmadaki boşluk, değişiklik günlüğünde açıkça listelenmemiş olmasına rağmen, görünüşe göre artık 2.3.9 sürümünde mevcut değil – ancak aynı şey, önceki sürümde zaten kapatılmış olan komut kaçakçılığındaki boşluk için de geçerli.
CVE kayıtlarında zafiyetlere ilişkin bir risk değerlendirmesi bulmak henüz mümkün değil. Bununla birlikte, Federal Bilgi Güvenliği Dairesi'nin (BSI) CERT-Bund'u CVSS değerini şu şekilde hesaplamaktadır: 8.8O yüksek riske girer ve yalnızca en yüksek risk seviyesi olan “kritik”i kaçırır.
CyberPanel kurulumuna sahip BT yöneticileri, ağlarındaki saldırı yüzeyini azaltmak amacıyla güvenlik yamalı yazılımın en son sürümünü yapılandırmak için güncellemeyi hızlı bir şekilde başlatmalıdır.
Kasım ayının sonunda, PSAUX fidye yazılımı grubunun CyberPanel ile donatılmış sunuculara yönelik saldırıları duyuldu. Kontrol paneli yazılımındaki iki kritik risk açığından yararlanmaya çalıştılar. Yaklaşık 22.000 vaka saldırıya uğradı. CyberPanel 2.3.8 sürümü boşlukları doldurdu.
(Bilmiyorum)
Bir yanıt yazın