Podatności CyberPanel

CyberPanel przed wersją 3.0.0 zawiera twardo zakodowany sekret JWT w usłudze SSH WebTerminal FastAPI, co pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie ważnych tokenów uwierzytelniających i uzyskanie interaktywnej powłoki root przez WebSocket na porcie 8888. Atakujący mogą sfałszować token JWT podpisany twardo zakodowanym sekretem, określając ssh_user=root, aby uwierzytelnić się w usłudze terminala bez żadnych ważnych poświadczeń i otrzymać powłokę root.

CyberPanel w wersjach przed 2.4.5 zawiera podatność na obejście uwierzytelniania w punktach końcowych AI Scanner worker API, co pozwala nieuwierzytelnionym zdalnym atakującym na zapisywanie dowolnych danych do bazy danych poprzez wysyłanie żądań do /api/ai-scanner/status-webhook i /api/ai-scanner/callback. Atakujący mogą wykorzystać brak kontroli uwierzytelniania do spowodowania odmowy usługi przez wyczerpanie pamięci, uszkodzenia historii skanów i zanieczyszczenia pól bazy danych złośliwymi danymi.

CyberPanel przed wersją 3.0.0 ma podatność na path traversal, która pozwala uwierzytelnionym administratorom czytać dowolne pliki z systemu plików serwera poprzez nieprzetworzone ścieżki w parametrze reportFile w endpointcie cloudAPI ReadReport. Atakujący może uzyskać dostęp do plików z danymi uwierzytelniającymi, kluczami SSL/SSH i plikami JWT.

CyberPanel 2.4.3 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń w funkcji zdalnego transferu kopii zapasowych. Atakujący może kontrolować odpowiedź API zdalnego serwera i wstrzyknąć złośliwe polecenia przez spreparowaną nazwę katalogu, które są przekazywane bez sanityzacji do funkcji wykonującej polecenia OS.

CyberPanel 2.4.3 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w funkcji zdalnych kopii zapasowych. Atakujący może podać złośliwy adres zdalnego serwera, co pozwala na zapisanie kontrolowanego klucza publicznego do /root/.ssh/authorized_keys, dając trwały dostęp root do systemu.

CyberPanel 2.4.3 zawiera podatność na dowolny odczyt plików w komponencie menedżera plików, która pozwala uwierzytelnionym atakującym na odczyt wrażliwych plików systemowych poprzez przesłanie spreparowanego archiwum ZIP zawierającego dowiązania symboliczne. Aplikacja nie weryfikuje dowiązań symbolicznych przed rozpakowaniem, co pozwala na utrwalenie dowiązań wskazujących na ścieżki poza katalogiem domowym użytkownika i dostęp do nich przez interfejs webowy.

CyberPanel do wersji 1.9.1 (załatane w commicie b198460) zawiera podatność IDOR w aplikacji IncBackups w handlerach przyrostowych kopii zapasowych (deleteBackup, fetchRestorePoints, restorePoint). Uwierzytelnieni użytkownicy panelu mogą uzyskać dostęp do zasobów kopii zapasowych innych dzierżawców lub manipulować nimi, podając kontrolowany przez atakującego globalnie sekwencyjny identyfikator IncJob, który nie jest ograniczony do autoryzowanej domeny. Atakujący mogą wyliczać sekwencyjne identyfikatory kopii zapasowych, aby odczytać metadane kopii zapasowej innego dzierżawcy, nieodwracalnie usunąć migawki kopii zapasowej innego dzierżawcy lub wywołać nieautoryzowane przywrócenie kopii zapasowej innego dzierżawcy z uprawnieniami roota.

W CyberPanel (do wersji 1.9.1) brakuje autoryzacji w handlerze cancelBackupCreation. Uwierzytelniony atakujący może wysyłać spreparowane żądania POST z dowolnymi parametrami, co pozwala na zabijanie procesów backupu, usuwanie archiwów i niszczenie backupów innych użytkowników.

CyberPanel 2.1 zawiera podatność na wykonanie poleceń, która pozwala uwierzytelnionym atakującym odczytywać dowolne pliki i wykonywać zdalny kod poprzez ataki symlinków na endpoint filemanager controller.

CyberPanel w wersjach przed 2.4.5 zawiera podatność na trwały atak XSS w panelu AI Scanner, gdzie endpoint POST /api/ai-scanner/callback nie wymaga uwierzytelnienia i pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy JavaScript przez nadpisanie pola findings_json rekordów ScanHistory. Atakujący mogą wstrzyknąć JavaScript, który wykonuje się w sesji administratora podczas odwiedzania panelu AI Scanner, umożliwiając wysyłanie żądań samego pochodzenia w celu utworzenia zadań cron i osiągnięcia zdalnego wykonania kodu na serwerze.