Podatności CyberPanel

CyberPanel przed wersją 3.0.0 zawiera twardo zakodowany sekret JWT w usłudze SSH WebTerminal FastAPI, co pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie ważnych tokenów uwierzytelniających i uzyskanie interaktywnej powłoki root przez WebSocket na porcie 8888. Atakujący mogą sfałszować token JWT podpisany twardo zakodowanym sekretem, określając ssh_user=root, aby uwierzytelnić się w usłudze terminala bez żadnych ważnych poświadczeń i otrzymać powłokę root.

CyberPanel w wersjach przed 2.4.5 zawiera podatność na obejście uwierzytelniania w punktach końcowych AI Scanner worker API, co pozwala nieuwierzytelnionym zdalnym atakującym na zapisywanie dowolnych danych do bazy danych poprzez wysyłanie żądań do /api/ai-scanner/status-webhook i /api/ai-scanner/callback. Atakujący mogą wykorzystać brak kontroli uwierzytelniania do spowodowania odmowy usługi przez wyczerpanie pamięci, uszkodzenia historii skanów i zanieczyszczenia pól bazy danych złośliwymi danymi.

CyberPanel v1.9.1 zawiera podatność path traversal w metodzie compress udostępnianej przez endpoint /filemanager/controller. Uwierzytelniony zdalny atakujący będący właścicielem dowolnej skonfigurowanej domeny może podać bezwzględne lub wykraczające poza zakres ścieżki plików w właściwości listOfFiles JSON wraz z kontrolowanymi wartościami basePath i compressedFileName w żądaniu method=compress.

CyberPanel 1.9.1 zawiera podatność path traversal w metodzie readFileContents endpointu /filemanager/controller. Uwierzytelniony zdalny atakujący będący właścicielem dowolnej skonfigurowanej domeny może podać dowolną bezwzględną lub wykraczającą poza zakres ścieżkę w właściwości fileName JSON.

CyberPanel przed wersją 2.4.4 nie rejestruje działań, które mogą potencjalnie manipulować listą domen podrzędnych. Brak logowania utrudnia wykrycie nieautoryzowanych zmian.

CyberPanel w wersji przed 2.4.4 próbuje wykryć domenę "alais" (drugą domenę serwującą tę samą treść co domena główna; poprawna pisownia to "alias") za pomocą filtra zapytań ORM zamiast instrukcji warunkowej Pythona "if".

CyberPanel przed wersją 2.4.4 pomija instrukcję "return 0" wymaganą przez logikę biznesową. Może to prowadzić do nieprawidłowego działania funkcji.

CyberPanel w wersjach przed 3.0.5 nie wymusza uwierzytelniania dwuskładnikowego na punktach końcowych API, co pozwala atakującym obejść wymóg TOTP przy użyciu tokenów pochodnych od hasła. Atakujący, który zdobędzie hasło administratora, może wygenerować tokeny API i wykonać operacje administracyjne lub utworzyć uwierzytelnione sesje bez drugiego składnika.

CyberPanel w wersjach od 2.4.3 do 2.4.5 udostępnia nieuwierzytelnione punkty końcowe debugowania skanera AI, które ujawniają nazwy administratorów, prefiksy kluczy API, identyfikatory skanów, domeny docelowe i metadane kont. Nieuwierzytelnieni atakujący mogą wyliczyć administratorów panelu i ostatnią aktywność skanera, aby zinwentaryzować instalacje wielodostępne i ułatwić dalsze ataki.

CyberPanel przed wersją 3.0.0 ma podatność na path traversal, która pozwala uwierzytelnionym administratorom czytać dowolne pliki z systemu plików serwera poprzez nieprzetworzone ścieżki w parametrze reportFile w endpointcie cloudAPI ReadReport. Atakujący może uzyskać dostęp do plików z danymi uwierzytelniającymi, kluczami SSL/SSH i plikami JWT.

CyberPanel 2.4.3 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń w funkcji zdalnego transferu kopii zapasowych. Atakujący może kontrolować odpowiedź API zdalnego serwera i wstrzyknąć złośliwe polecenia przez spreparowaną nazwę katalogu, które są przekazywane bez sanityzacji do funkcji wykonującej polecenia OS.

CyberPanel 2.4.3 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w funkcji zdalnych kopii zapasowych. Atakujący może podać złośliwy adres zdalnego serwera, co pozwala na zapisanie kontrolowanego klucza publicznego do /root/.ssh/authorized_keys, dając trwały dostęp root do systemu.

CyberPanel 2.4.3 zawiera podatność na dowolny odczyt plików w komponencie menedżera plików, która pozwala uwierzytelnionym atakującym na odczyt wrażliwych plików systemowych poprzez przesłanie spreparowanego archiwum ZIP zawierającego dowiązania symboliczne. Aplikacja nie weryfikuje dowiązań symbolicznych przed rozpakowaniem, co pozwala na utrwalenie dowiązań wskazujących na ścieżki poza katalogiem domowym użytkownika i dostęp do nich przez interfejs webowy.

CyberPanel do wersji 1.9.1 (załatane w commicie b198460) zawiera podatność IDOR w aplikacji IncBackups w handlerach przyrostowych kopii zapasowych (deleteBackup, fetchRestorePoints, restorePoint). Uwierzytelnieni użytkownicy panelu mogą uzyskać dostęp do zasobów kopii zapasowych innych dzierżawców lub manipulować nimi, podając kontrolowany przez atakującego globalnie sekwencyjny identyfikator IncJob, który nie jest ograniczony do autoryzowanej domeny. Atakujący mogą wyliczać sekwencyjne identyfikatory kopii zapasowych, aby odczytać metadane kopii zapasowej innego dzierżawcy, nieodwracalnie usunąć migawki kopii zapasowej innego dzierżawcy lub wywołać nieautoryzowane przywrócenie kopii zapasowej innego dzierżawcy z uprawnieniami roota.

W CyberPanel (do wersji 1.9.1) brakuje autoryzacji w handlerze cancelBackupCreation. Uwierzytelniony atakujący może wysyłać spreparowane żądania POST z dowolnymi parametrami, co pozwala na zabijanie procesów backupu, usuwanie archiwów i niszczenie backupów innych użytkowników.

CyberPanel 2.1 zawiera podatność na wykonanie poleceń, która pozwala uwierzytelnionym atakującym odczytywać dowolne pliki i wykonywać zdalny kod poprzez ataki symlinków na endpoint filemanager controller.

CyberPanel w wersjach przed 2.4.5 zawiera podatność na trwały atak XSS w panelu AI Scanner, gdzie endpoint POST /api/ai-scanner/callback nie wymaga uwierzytelnienia i pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy JavaScript przez nadpisanie pola findings_json rekordów ScanHistory. Atakujący mogą wstrzyknąć JavaScript, który wykonuje się w sesji administratora podczas odwiedzania panelu AI Scanner, umożliwiając wysyłanie żądań samego pochodzenia w celu utworzenia zadań cron i osiągnięcia zdalnego wykonania kodu na serwerze.