CVE-2021-3021

SQL injection w ISPConfig przed wersją 3.2.2

CVSS 9.8v3.1pub. 2021-01-05upd. 2024-11-21

ISPConfig w wersjach wcześniejszych niż 3.2.2 zawiera podatność typu SQL injection umożliwiającą zdalne wykonanie nieautoryzowanych zapytań do bazy danych. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla serwerów hostingowych korzystających z tego panelu administracyjnego.

▸ Pokaż oryginał (EN)

ISPConfig before 3.2.2 allows SQL injection.

🤖 Analiza AI

Jak działa

Podatność typu SQL injection (CWE-89) polega na niewystarczającym filtrowaniu lub braku walidacji danych wejściowych przekazywanych do zapytań SQL. Atakujący może spreparować złośliwe dane wejściowe, które zostaną zinterpretowane jako część zapytania SQL wykonywanego przez aplikację. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika (AV:N/AC:L/PR:N/UI:N), co oznacza, że exploit może być przeprowadzony zdalnie przez każdego.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt, modyfikację lub usunięcie danych z bazy danych aplikacji, co zagraża poufności, integralności i dostępności systemu. W zależności od konfiguracji bazy danych możliwe jest również przejęcie kontroli nad systemem operacyjnym serwera.

Mitygacja

Należy niezwłocznie zaktualizować ISPConfig do wersji 3.2.2 lub nowszej, zgodnie z oficjalnym komunikatem producenta dostępnym pod adresem https://www.ispconfig.org/blog/ispconfig-3-2-2-released-important-security-update/