CVE-2021-43693

File inclusion w Vesta Control Panel 0.9.8-24 — krytyczna podatność RCE

CVSS 9.8v3.1pub. 2021-11-29upd. 2024-11-21

Vesta Control Panel w wersji 0.9.8-24 zawiera podatność typu file inclusion w pliku web/add/user/index.php. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość przejęcia kontroli nad serwerem bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

vesta 0.9.8-24 is affected by a file inclusion vulnerability in file web/add/user/index.php.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej obsłudze danych wejściowych w pliku web/add/user/index.php, który umożliwia dołączenie (inclusion) dowolnego pliku — lokalnego lub potencjalnie zdalnego. Atakujący może dostarczyć spreparowane dane wejściowe, które skłonią aplikację do załadowania i wykonania nieautoryzowanego pliku. Ze względu na wektor sieciowy (AV:N), brak wymagań dotyczących uwierzytelnienia (PR:N) i interakcji użytkownika (UI:N), atak może być przeprowadzony zdalnie przez dowolną osobę mającą dostęp do interfejsu webowego panelu.

Skutki

Atakujący może uzyskać pełny dostęp do poufnych danych, zmodyfikować lub usunąć pliki systemowe oraz wykonać dowolny kod na serwerze, co w praktyce oznacza całkowite przejęcie kontroli nad systemem hostingowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu pod adresem https://github.com/serghey-rodin/vesta w celu pobrania aktualnej wersji. Do czasu wdrożenia łatki należy rozważyć ograniczenie dostępu do interfejsu webowego panelu wyłącznie do zaufanych adresów IP za pomocą firewall.