Aktywnie wykorzystywana w atakach
CyberPanel Incorrect Default Permissions Vulnerability
CyberPersons - CyberPanel · Figuruje w katalogu CISA KEV od 2024-11-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2024-51567
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Funkcja upgrademysqlstatus w databases/views.py w CyberPanel przed wersją 5b08cd6 pozwala zdalnym atakującym ominąć uwierzytelnianie i wykonać dowolne polecenia przez /dataBases/upgrademysqlstatus, omijając secMiddleware (który jest tylko dla żądań POST) i używając metaznaków powłoki we właściwości statusfile. Luka była wykorzystywana w środowisku w październiku 2024 przez PSAUX. Dotyczy wersji do 2.3.6 i (niezałatanej) 2.3.7.
Ocena ryzyka
Atakujący bez uwierzytelnienia może wykonać dowolne polecenia na serwerze, co prowadzi do całkowitego przejęcia panelu i systemu.
Rekomendacja
Zaktualizuj CyberPanel do wersji zawierającej poprawkę (po 5b08cd6) i ogranicz dostęp do panelu.
Oryginalny opis (angielski, źródło NVD)
upgrademysqlstatus in databases/views.py in CyberPanel (aka Cyber Panel) before 5b08cd6 allows remote attackers to bypass authentication and execute arbitrary commands via /dataBases/upgrademysqlstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.