CVE-2022-1509

Command Injection w HestiaCP — RCE jako root przez nisko uprzywilejowane konto

CVSS 9.9v3.1pub. 2022-04-28upd. 2024-11-21

Podatność typu command injection w panelu HestiaCP (wersje przed 1.5.12) umożliwia uwierzytelnionemu atakującemu z niskimi uprawnieniami zdalne wykonanie dowolnego kodu z uprawnieniami root. Ze względu na możliwość pełnego przejęcia serwera podatność klasyfikowana jest jako krytyczna.

▸ Pokaż oryginał (EN)

Command Injection Vulnerability in GitHub repository hestiacp/hestiacp prior to 1.5.12. An authenticated remote attacker with low privileges can execute arbitrary code under root context.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych przekazywanych do poleceń systemowych (CWE-77 — command injection). Atakujący posiadający dowolne konto w panelu HestiaCP może wstrzyknąć złośliwe polecenia, które zostaną wykonane przez system operacyjny w kontekście uprzywilejowanego użytkownika root. Atak jest możliwy zdalnie przez sieć, nie wymaga interakcji ofiary ani szczególnie wysokich uprawnień — wystarczy posiadanie podstawowego konta w aplikacji.

Skutki

Atakujący może wykonać dowolny kod z uprawnieniami root na serwerze hostującym HestiaCP, co w praktyce oznacza pełne przejęcie kontroli nad systemem — możliwe jest odczytanie i modyfikacja danych, instalacja złośliwego oprogramowania oraz lateral movement w sieci.

Mitygacja

Należy natychmiast zaktualizować HestiaCP do wersji 1.5.12 lub nowszej. Poprawka dostępna jest w commit d50f95cf208049dfb6ac67a8020802121745bd60 w oficjalnym repozytorium GitHub. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do panelu wyłącznie do zaufanych adresów IP na poziomie firewall.

Kogo dotyczy

HestiaCP Control Panel w wersjach wcześniejszych niż 1.5.12 (repozytorium hestiacp/hestiacp na GitHub)

Uwagi

Podatność została zgłoszona przez platformę huntr.dev (program bug bounty). Szczegóły zgłoszenia dostępne pod adresem: https://huntr.dev/bounties/09e69dff-f281-4e51-8312-ed7ab7606338