CVE-2020-9398

Podatność typu SQL Injection (CWE-89) wynika z braku odpowiedniej walidacji i parametryzacji zapytań do bazy danych w funkcjonalności panelu reverse proxy. Gdy administrator ręcznie aktywuje nieudokumentowaną opcję reverse_proxy_panel_allowed=sites, aplikacja staje się podatna na wstrzyknięcie złośliwego kodu SQL. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może przesłać spreparowane zapytanie zawierające payload SQL, który zostanie wykonany przez silnik bazy danych.

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, odczytać, zmodyfikować lub usunąć jej zawartość, a w sprzyjających konfiguracjach również wykonać polecenia systemowe — co prowadzi do pełnej kompromitacji poufności, integralności i dostępności systemu.

Należy zaktualizować ISPConfig do wersji 3.1.15p3 lub nowszej, zgodnie z informacjami producenta dostępnymi pod adresem: https://www.ispconfig.org/blog/ispconfig-3-1-15p3-released-security-bugfix-release/. Jako środek tymczasowy zaleca się upewnienie się, że opcja reverse_proxy_panel_allowed=sites nie jest włączona w konfiguracji.

ISPConfig w wersjach przed 3.1.15p3, wyłącznie gdy opcja reverse_proxy_panel_allowed=sites została ręcznie włączona w konfiguracji.

Podatność jest aktywna wyłącznie przy włączonej nieudokumentowanej opcji konfiguracyjnej reverse_proxy_panel_allowed=sites, co ogranicza rzeczywistą liczbę narażonych instalacji do tych, w których administrator świadomie lub nieświadomie aktywował tę opcję.