Slovenščina
Magyar
English
Deutsch
Zlonamerni hekerji so začeli izkoriščati kritično ranljivost CVE-2022-44877 v nepopravljenih različicah CentOS Web Panel (CWP), priljubljenega brezplačnega spletnega vmesnika za gostovanje z zaprto kodo.
Ranljivost omogoča oddaljeno izvajanje kode brez overitve. Popravljena je bila oktobra, potem ko jo je odkril in prijavil Numan Turle, raziskovalec pri Gais Cyber Security, ki je 3. januarja objavil še dokazni izkoriščevalski program (proof-of-concept). GreyNoise in The Shadowserver Foundation sta nato zaznala aktivno izkoriščanje, slednja je prve napade zabeležila 6. januarja.
Čeprav je bila kritična ranljivost v Control Web Panel uradno popravljena 25. oktobra 2022, se dokazi o njenem aktivnem izkoriščanju kopičijo.
CVE-2022-44877 je ranljivost za oddaljeno izvajanje kode, ki jo povzroča ena sama vrstica kode v datoteki /login/index.php in ki neoverjenim napadalcem omogoča izvajanje kode na strežniku, na katerem teče Control Web Panel.
Za beleženje napak problematična vrstica uporablja naslednjo strukturo: vrne se echo: “incorrect entry, IP address, HTTP REQUEST URI”. Po besedah raziskovalcev je, ker URI zahteve prihaja od uporabnika in je v narekovajih, mogoče izvajati ukaze, kot je $(blabla), kar je funkcija bash.
Ker funkcije beleženja temeljijo na bash (prek ukaza echo) in parameter HTTP REQUEST URI nadzoruje uporabnik, lahko napadalec z vgrajeno funkcijo bash, imenovano Command Substitution, pripravi »zlonamerno« zahtevo HTTP, ki vsebuje sistemske ukaze.
V nekaterih napadih se izkoriščevalski program uporablja za zagon povratne lupine (reverse shell). S pomočjo Pythonovega modula pty se kodirani tovori pretvorijo v ukaze Python, ki pokličejo napadalčev računalnik in na ranljivem gostitelju odprejo terminal.
Po podatkih GreyNoise trenutno vsaj štirje različni naslovi IP aktivno ciljajo na to ranljivost. Skrbnike sistemov zato pozivajo, naj hitro ukrepajo in CWP posodobijo na najnovejšo razpoložljivo različico, trenutno 0.9.8.1148, ki je izšla 1. decembra 2022.