Podatności Softaculous Virtualizor

Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę obejścia autoryzacji w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym modyfikować saldo dowolnego najemcy poprzez dostarczenie spreparowanych parametrów act i from_billing_module do dyspozytora panelu administracyjnego. Atakujący mogą wysłać żądanie POST z dowolnymi wartościami uid i balance w polu billing_data, aby wywołać nieuwierzytelnioną parametryzowaną aktualizację tabeli użytkowników, umożliwiając manipulację saldem konta i potencjalne automatyczne zawieszenie usług dla wybranych kont.

Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera lukę wstrzyknięcia obiektu PHP w module rozliczeniowym, która pozwala nieuwierzytelnionym zdalnym atakującym dostarczyć dowolne serializowane obiekty PHP do deserializacji poprzez ustawienie parametru act na login z obecnym parametrem from_billing_module. Atakujący mogą przekazać złośliwe serializowane dane przez pole POST billing_data do funkcji unserialize() bez ograniczeń allowed_classes, umożliwiając wykorzystanie dostępnych łańcuchów POP do osiągnięcia zdalnego wykonania kodu jako root.

Softaculous Virtualizor przed wersją 3.2.9 (Patch 9) i 3.0.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w module obsługi rozliczeń, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych poleceń jako root poprzez ominięcie uwierzytelniania za pomocą określonych kombinacji parametrów. Atakujący mogą zdeserializować spreparowane pole billing_data POST i wstrzyknąć ładunki powłoki przez pole uid, które jest przekazywane bez modyfikacji do proc_open() przez vexec(), co daje pełną kontrolę nad hostem i wszystkimi zarządzanymi instancjami VPS.