CVE-2024-27102

सारांश

Wings, Pterodactyl Panel के लिए सर्वर कंट्रोल प्लेन है। यह भेद्यता Wings के प्रभावित संस्करणों को चलाने वाले किसी भी व्यक्ति को प्रभावित करती है। इस भेद्यता का उपयोग संभावित रूप से होस्ट सिस्टम पर फ़ाइलों और निर्देशिकाओं तक पहुँचने के लिए किया जा सकता है। प्रभाव का पूर्ण दायरा ठीक से ज्ञात नहीं है, लेकिन किसी सर्वर के आधार निर्देशिका (सैंडबॉक्स रूट) के बाहर की फ़ाइलों को पढ़ना संभव है। इस एक्सप्लॉइट का उपयोग करने के लिए, एक हमलावर के पास Wings द्वारा आवंटित और नियंत्रित एक मौजूदा "सर्वर" होना चाहिए। इस भेद्यता के शोषण के विवरण 27 मार्च, 2024 को 18:00 UTC तक एम्बार्गो में हैं। इस भेद्यता को कम करने के लिए, संपूर्ण सर्वर फ़ाइलसिस्टम का पूर्ण पुनर्लेखन आवश्यक था। इस वजह से, पैच का आकार बहुत बड़ा है, हालाँकि ब्रेकिंग परिवर्तनों की मात्रा को कम करने का प्रयास किया गया था। उपयोगकर्ताओं को संस्करण 1.11.9 में अपडेट करने की सलाह दी जाती है। इस भेद्यता के लिए कोई ज्ञात वर्कअराउंड नहीं हैं।

• Magnohost-Vulnerabilities-pentestअनुसंधान

  MagnoHost और MeteorCloud इंफ्रास्ट्रक्चर का मैनुअल ब्लैक-बॉक्स पेनेट्रेशन टेस्ट, जिसमें उजागर MariaDB, डिफ़ॉल्ट क्रेडेंशियल्स, CVE-2024-27102, और DMARC स्पूफिंग निष्कर्षों का दस्तावेज़ीकरण किया गया है।

• Magnohost-Vulnerabilities-pentestअनुसंधान

  MagnoHost होस्टिंग प्रदाता और MeteorCloud इंफ्रास्ट्रक्चर पर पेंटेस्ट, 15+ सर्वर मैप किए गए। निष्कर्ष: 6 सर्वरों पर MariaDB उजागर, OmniDialer डिफ़ॉल्ट क्रेडेंशियल → पूर्ण पहुंच (103k CDR रिकॉर्ड), Wings CVE-2024-27102 (CVSS 9.9), Grafana 13.0.1 उजागर, DMARC स्पूफिंग। केवल curl_cffi + Python। शून्य स्वचालित स्कैनर।