CVE-2024-53376

CyberPanel: iniezione di comandi del sistema operativo autenticata

Dispositivi interessati

Le versioni di CyberPanel precedenti alla 2.3.8 sono vulnerabili a un'iniezione di comandi del sistema operativo. Per sfruttare la vulnerabilità, l'attaccante deve prima autenticarsi nel pannello web.

Testato con

CyberPanel 2.3.7

Dettagli tecnici

Un attaccante può utilizzare una richiesta HTTP OPTIONS per istruire il server web che esegue l'applicazione CyberPanel affinché esegua comandi arbitrari. Questa vulnerabilità risiede nell'endpoint /websites/submitWebsiteCreation.

Questo endpoint chiama la funzione submitWebsiteCreation nel file /websiteFunctions/views.py.

Questa funzione chiama a sua volta la funzione wm.submitWebsiteCreation situata nel file /websiteFunctions/website.py. Questa funzione estrae cinque parametri utilizzati al suo interno: - domain; - adminEmail; - phpSelection; - packageName; - websiteOwner;

Questi parametri vengono successivamente passati direttamente a una funzione che li esegue:

Il codice Proof-of-Concept (PoC) è disponibile nel file cyberpanel.py collegato in questo repository.

PoC

Questo Proof-of-Concept può essere utilizzato per scrivere file con permessi di root, ovunque sul sistema:

Ciò può portare al compromesso completo del dispositivo. Se la cartella di installazione di CyberPanel sul dispositivo è accessibile, i dati possono essere estratti più facilmente tramite il pannello web.

Writeup

Il writeup che descrive il processo di scoperta dell'exploit sarà disponibile all'indirizzo: https://thottysploity.github.io/posts/cve-2024-53376

Cronologia

30.10.2024 - Identificata la vulnerabilità
31.10.2024 - Contattato Usman Nasir, proprietario di CyberPanel
02.11.2024 - Usman ha risolto il problema e pubblicato una correzione
03.11.2024 - Richiesto il CVE-ID a MITRE
23.11.2024 - MITRE ha riservato il CVE-ID 2024-53376
15.12.2024 - CVE-2024-53376 pubblicato pubblicamente