Podatności Ajenti

Ajenti to modularny panel administracyjny serwera dla Linuksa i BSD. W wersjach przed 2.2.16 każdy uwierzytelniony użytkownik może wywołać /api/core/tasks/start, aby zakolejkować InstallPlugin, UnInstallPlugin lub UpgradeAll z plugins/plugins/tasks.py bez uprawnień do zarządzania wtyczkami. InstallPlugin i UnInstallPlugin budują specyfikację pakietu pip z niezweryfikowanych pól name i version, a proces roboczy uruchamia pip jako root. Niskouprzywilejowany użytkownik może więc zainstalować, usunąć lub zaktualizować wtyczkę z uprawnieniami roota, co prowadzi do wykonania kodu jako root i pełnego przejęcia hosta. Problem naprawiono w wersji 2.2.16.

Ajenti w wersji 2.1.36 zawiera podatność na zdalne wykonanie poleceń po uwierzytelnieniu, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń po pomyślnym zalogowaniu. Atakujący mogą wykorzystać punkt końcowy /api/terminal/create do wysłania ładunku reverse shell netcat, celując w określony adres IP i port.

Ajenti do wersji 2.2.13 zawiera podatność na clickjacking w interfejsie logowania i administracyjnym. Brak nagłówków X-Frame-Options i Content-Security-Policy frame-ancestors w odpowiedziach HTTP umożliwia osadzenie strony w ramce iframe.

Ajenti przed wersją 2.2.15 umożliwia uwierzytelnionemu użytkownikowi (korzystającemu z wtyczki auth_users) instalację niestandardowego pakietu, nawet jeśli nie jest on superużytkownikiem. Luka została naprawiona w wersji 2.2.15.