CVE-2026-67402
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Niebezpieczna konfiguracja Apache w ConfigServer Security & Firewall mapuje /usr/bin jako programy CGI przez wirtualny host HTTPS Messenger v3. Zdalny nieuwierzytelniony atakujący, którego adres jest zablokowany, może zażądać zmapowanego pliku wykonywalnego i uruchomić dowolne polecenia jako użytkownik Apache. Podatność dotyczy instalacji, w których włączone są CSF Messenger v3 i jego tryb HTTPS. WebPros naprawił podatność w wersji 16.31.
Ocena ryzyka
Atakujący może ominąć blokadę adresu IP i wykonać dowolne polecenia na serwerze, co może prowadzić do pełnego naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację ConfigServer Security & Firewall do wersji 16.31 lub nowszej oraz sprawdzenie konfiguracji Apache pod kątem niebezpiecznych mapowań CGI.
Inne podatności w ConfigServer Security & Firewall
Zobacz wszystkie- CVE-2026-65639Krytyczne
Wstrzyknięcie poleceń systemu operacyjnego w parserze zaawansowanych reguł ConfigServer Security & Firewall pozwala zdalnemu atakującemu kontrolującemu skonfigurowane źródło allow/deny na wykonanie dowolnych poleceń jako root z powodu niewystarczającej walidacji danych reguł dostarczanych przez źródło. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
- CVE-2026-65638Krytyczne
Nieprawidłowe escapowanie adresu URL żądania w ConfigServer Security & Firewall pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń jako konto usługi CSF poprzez wstrzyknięcie poleceń powłoki. Podatność dotyczy wersji oprogramowania pierwotnie dystrybuowanych przez ConfigServer, a także wersji utrzymywanej przez WebPros zawierających podatny kod. WebPros naprawił podatność w wersji 16.30. Inne forki lub niezależnie utrzymywane wersje CSF mogą być również dotknięte i powinny być ocenione niezależnie.
Oryginalny opis (angielski, źródło NVD)
An insecure Apache configuration in ConfigServer Security & Firewall maps /usr/bin as CGI programs through the Messenger v3 HTTPS virtual host. A remote unauthenticated attacker whose address is blocked can request a mapped executable and run arbitrary commands as the Apache user. The vulnerability affects installations where CSF Messenger v3 and its HTTPS mode are enabled. WebPros addressed the vulnerability in version 16.31.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS