Podatność w Pterodactyl Wings (server control plane) umożliwia atakującemu odczyt plików i katalogów spoza wyznaczonego katalogu bazowego (sandbox root) serwera. Ze względu na wysoki wynik CVSS 9.9 i zasięg wykraczający poza granice izolacji, podatność stanowi poważne zagrożenie dla bezpieczeństwa systemu hosta.
▸ Pokaż oryginał (EN)
Wings is the server control plane for Pterodactyl Panel. This vulnerability impacts anyone running the affected versions of Wings. The vulnerability can potentially be used to access files and directories on the host system. The full scope of impact is exactly unknown, but reading files outside of a server's base directory (sandbox root) is possible. In order to use this exploit, an attacker must have an existing "server" allocated and controlled by Wings. Details on the exploitation of this vulnerability are embargoed until March 27th, 2024 at 18:00 UTC. In order to mitigate this vulnerability, a full rewrite of the entire server filesystem was necessary. Because of this, the size of the patch is massive, however effort was made to reduce the amount of breaking changes. Users are advised to update to version 1.11.9. There are no known workarounds for this vulnerability.
Błąd klasy path traversal (CWE-22) w połączeniu z podatnością na race condition (CWE-362/CWE-363) pozwala na wyjście poza katalog bazowy serwera kontrolowanego przez Wings. Atakujący, posiadający przydzielony i kontrolowany serwer w ramach instancji Wings, może poprzez spreparowane żądanie odczytać pliki znajdujące się poza sandboxem. Podatność wymagała pełnego przepisania całego modułu obsługi systemu plików serwera, co świadczy o jej głębokim osadzeniu w architekturze aplikacji.
Atakujący może odczytywać pliki i katalogi systemu hosta spoza wyznaczonego obszaru izolacji serwera, co może prowadzić do ujawnienia poufnych danych, w tym konfiguracji, kluczy czy danych innych użytkowników systemu.
Należy niezwłocznie zaktualizować Pterodactyl Wings do wersji 1.11.9. Producent nie przewiduje żadnych obejść (workarounds) — aktualizacja jest jedynym sposobem usunięcia podatności.
Pterodactyl Wings — wersje poprzedzające 1.11.9; podatność dotyczy każdego, kto uruchamia podatne wersje Wings z przydzielonymi serwerami
Szczegóły dotyczące exploitacji były objęte embargiem do 27 marca 2024 r. (godz. 18:00 UTC), zgodnie z informacją zawartą w opisie podatności. Patch ma znaczący rozmiar ze względu na konieczność pełnego przepisania modułu systemu plików.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HPterodactyl Wings
APPPterodactyl< 1.11.9
Powiązane podatności
Wings is the server control plane for Pterodactyl Panel. A vulnerability affecting versions prior to 1.7.5 and...
Wings is Pterodactyl's server control plane. This vulnerability can be used to delete files and directories re...
Wings is the server control plane for Pterodactyl, a free, open-source game server management panel. Starting ...
Wings is the server control plane for Pterodactyl, a free, open-source game server management panel. Prior to ...
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below do not revoke acti...