CVE-2024-54679

CVE-2024-54679 - CyberPanel (auch bekannt als Cyber Panel) Denial of Service

Beschreibung

In Cyber Panel wurde eine Denial-of-Service-Schwachstelle (DoS) entdeckt, die es jedem authentifizierten Benutzer ermöglicht, die Datenbank neu zu starten, indem Anfragen an den Endpunkt /dataBases/restartMySQL gesendet werden. Diese Schwachstelle tritt in der Funktion restartMySQL in der Datei Cyberpanel/databases/views.py in Zeile 400 auf, wo die Aktion ausgeführt wird, bevor die Benutzerberechtigungen (ACL) überprüft werden. Die Funktion ruft zunächst die Benutzer-ID aus der Sitzung ab (Authentifizierungsprüfung) und ruft dann die Methode restartMySQL der Klasse mysqlUtilities auf, die den Datenbank-Neustartbefehl (sudo systemctl restart mariadb) ausführt. Erst nach dieser Aktion wird geprüft, ob der Benutzer Administrator ist. Das Fehlen einer ACL-Prüfung vor der Ausführung des Neustarts macht den Endpunkt für jeden authentifizierten Benutzer zugänglich. Ein Angreifer mit einem Benutzerkonto mit niedrigen Berechtigungen könnte dies ausnutzen, indem er wiederholt Anfragen an den Endpunkt sendet, was zum Absturz der Datenbank und damit zu einem Denial of Service führt.