CVE-2024-51378
CyberPanel Incorrect Default Permissions Vulnerability
Beschreibung
CVE-2024-51378 ist eine kritische Schwachstelle fuer Authentifizierungs-Bypass und Command Injection in CyberPanel (auch bekannt als Cyber Panel) vor Version 2.3.8. Die Schwachstelle in den Funktionen getresetstatus der Module dns/views.py und ftp/views.py ermoeglicht es entfernten, nicht authentifizierten Angreifern, beliebige Systembefehle auszufuehren. Mit einem CVSS-Score von 10.0 (CRITICAL) und einem EPSS-Score von 93,85 % (99,9. Perzentil) stellt diese Schwachstelle die hoechstmoegliche Bedrohungsstufe dar. Die CISA hat CVE-2024-51378 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Dezember 2024. Die Schwachstelle wurde aktiv von der PSAUX-Ransomware-Gruppe ausgenutzt, die ueber 22.000 CyberPanel-Instanzen angegriffen hat.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cyberpanel | cyberpanel | < 2.3.8 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://cwe.mitre.org/data/definitions/420.html(Not Applicable)
- https://cwe.mitre.org/data/definitions/78.html(Not Applicable)
- https://cyberpanel.net/KnowledgeBase/home/change-logs/(Release Notes)
- https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel(Product)
- https://github.com/usmannasir/cyberpanel/commit/1c0c6cbcf71abe573da0b5fddfb9603e7477f683(Patch)
- https://refr4g.github.io/posts/cyberpanel-command-injection-vulnerability/(Exploit)
- https://www.bleepingcomputer.com/news/security/massive-psaux-ransomware-attack-targets-22-000-cyberpanel-instances/(Exploit, Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-51378(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CWE-78 beschreibt eine Schwachstellenklasse, bei der eine Anwendung Benutzereingaben ohne ausreichende Bereinigung in Betriebssystembefehle einbettet. Im Fall von CVE-2024-51378 werden Shell-Metazeichen in der statusfile-Eigenschaft der getresetstatus-Funktion nicht gefiltert, wodurch Angreifer beliebige Befehle auf dem Betriebssystem ausfuehren koennen. Mehr erfahren
CWE-420: Unprotected Alternate Channel
CWE-420 beschreibt eine Schwachstelle, bei der ein alternativer Kommunikationskanal nicht durch dieselben Sicherheitsmechanismen geschuetzt ist wie der primaere Kanal. Bei CVE-2024-51378 schuetzt die secMiddleware nur POST-Anfragen, sodass die verwundbaren Endpunkte /dns/getresetstatus und /ftp/getresetstatus ueber andere HTTP-Methoden ohne Authentifizierung erreichbar sind. Mehr erfahren
Auswirkungsanalyse
Vollstaendige Serveruebernahme mit maximaler Auswirkung: Der CVSS-Score von 10.0 — der Hoechstwert — verdeutlicht die Schwere dieser Schwachstelle. Die Kombination aus Authentifizierungs-Bypass und Command Injection ermoeglicht es nicht authentifizierten Angreifern, beliebige Befehle mit den Rechten des CyberPanel-Webservers auszufuehren, der haeufig als Root laeuft. Vertraulichkeit (C:H) ist maximal betroffen, da der Angreifer auf alle gehosteten Websites, Datenbanken, E-Mail-Konten und Konfigurationsdaten zugreifen kann. Integritaet (I:H) ermoeglicht die vollstaendige Manipulation aller gehosteten Inhalte, die Installation von Backdoors und die Veraenderung von Systemkonfigurationen. Verfuegbarkeit (A:H) ermoeglicht die Verschluesselung oder Zerstoerung saemtlicher gehosteter Daten.
Scope-Erweiterung (S:C): Der CVSS-Vektor zeigt einen geaenderten Scope (S:C), was bedeutet, dass die Auswirkungen ueber das verwundbare System hinausgehen. Da CyberPanel ein Hosting-Panel ist, sind alle auf dem Server gehosteten Websites und Dienste betroffen, nicht nur CyberPanel selbst.
EPSS und Ransomware: Der EPSS-Score von 93,85 % (99,9. Perzentil) bestaetigt die extrem hohe Ausnutzungswahrscheinlichkeit. Die CISA stuft die Ransomware-Nutzung als Known ein. Die PSAUX-Ransomware-Gruppe hat die Schwachstelle im Oktober 2024 in einer massiven Kampagne gegen ueber 22.000 CyberPanel-Instanzen eingesetzt.
Exploit-Reifegrad
CVE-2024-51378 weist eine maximale Exploit-Reife auf. Die Schwachstelle wurde im Oktober 2024 in einer massiven Ransomware-Kampagne aktiv ausgenutzt und ist vollstaendig dokumentiert.
EPSS-Kontext: Mit einem EPSS-Score von 93,85 % (99,9. Perzentil) gehoert CVE-2024-51378 zu den Schwachstellen mit der hoechsten Ausnutzungswahrscheinlichkeit weltweit.
Oeffentliche Exploits: Ein detaillierter Exploit-Writeup beschreibt den Angriffsmechanismus vollstaendig. Der Patch-Commit auf GitHub macht die technischen Details der Schwachstelle transparent.
Ransomware-Verbindung: Die PSAUX-Ransomware-Gruppe hat die Schwachstelle in einer massiven Kampagne gegen ueber 22.000 CyberPanel-Instanzen eingesetzt. Die Angreifer nutzten die Command Injection, um Ransomware auf den kompromittierten Servern zu installieren und alle gehosteten Daten zu verschluesseln. Die CISA klassifiziert die Ransomware-Nutzung als Known.
Behebung
- CyberPanel sofort auf Version 2.3.8 oder hoeher aktualisieren: Fuehren Sie das Update ueber die integrierte Update-Funktion oder manuell ueber das CyberPanel GitHub-Repository durch. Die Aenderungen sind im Commit 1c0c6cb dokumentiert.
- Server auf Kompromittierung pruefen: Da die Schwachstelle grossflaechig ausgenutzt wurde, muessen alle CyberPanel-Server auf Anzeichen einer Kompromittierung untersucht werden. Suchen Sie nach verschluesselten Dateien, unbekannten Cronjobs, verdaechtigen Prozessen und Backdoors in den gehosteten Websites.
- Netzwerkzugriff auf CyberPanel einschraenken: Beschraenken Sie den Zugriff auf die CyberPanel-Verwaltungsoberflaeche auf vertrauenswuerdige IP-Adressen. Das Panel sollte niemals direkt aus dem oeffentlichen Internet erreichbar sein, sondern nur ueber VPN oder IP-Whitelisting.
- Alle gehosteten Websites und Datenbanken pruefen: Untersuchen Sie alle auf dem Server gehosteten Websites auf eingeschleusten Schadcode, insbesondere PHP-Webshells in Upload-Verzeichnissen. Pruefen Sie Datenbanken auf unautorisierte Aenderungen.
- Backup-Integritaet sicherstellen: Ueberpruefen Sie die Integritaet Ihrer Backups und stellen Sie sicher, dass diese nicht ebenfalls kompromittiert wurden. Erstellen Sie nach der Bereinigung neue, verifizierte Backups.
Technische Details
Die Schwachstelle befindet sich in den Funktionen getresetstatus in den Dateien dns/views.py und ftp/views.py von CyberPanel. Diese Funktionen akzeptieren eine statusfile-Eigenschaft, die ohne ausreichende Bereinigung in einen Betriebssystembefehl eingebettet wird.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist geaendert (S:C), was bedeutet, dass die Auswirkungen ueber CyberPanel hinaus auf alle gehosteten Dienste reichen. Alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Die secMiddleware von CyberPanel schuetzt die verwundbaren Endpunkte /dns/getresetstatus und /ftp/getresetstatus nur fuer POST-Anfragen. Durch Verwendung anderer HTTP-Methoden kann die Authentifizierung vollstaendig umgangen werden. Die statusfile-Eigenschaft in der Anfrage wird dann ohne Bereinigung von Shell-Metazeichen in einen Systembefehl eingebettet. Ein Angreifer kann durch Einfuegen von Zeichen wie Semikolon (;), Pipe (|) oder Backticks beliebige zusaetzliche Befehle ausfuehren. Da CyberPanel haeufig als Root laeuft, fuehrt dies zur vollstaendigen Uebernahme des Servers und aller gehosteten Dienste.
Häufig gestellte Fragen
Was ist CyberPanel und wie weit verbreitet ist es?
CyberPanel ist ein Open-Source-Hosting-Panel fuer Linux-Server, das auf LiteSpeed/OpenLiteSpeed basiert. Es wird weltweit von Hosting-Anbietern und Einzelpersonen verwendet, um Websites, Datenbanken und E-Mail-Konten zu verwalten. Zum Zeitpunkt der Angriffe waren ueber 22.000 Instanzen oeffentlich erreichbar.
Wie wurde die PSAUX-Ransomware-Kampagne durchgefuehrt?
Die PSAUX-Ransomware-Gruppe nutzte CVE-2024-51378, um automatisiert ueber 22.000 CyberPanel-Instanzen zu scannen und anzugreifen. Nach der Ausnutzung der Command-Injection-Schwachstelle wurde Ransomware installiert, die saemtliche gehosteten Daten verschluesselte. Die Kampagne war besonders verheerend, da jeder kompromittierte Server potenziell Hunderte von Websites und Datenbanken hostete.
Warum hat die Schwachstelle einen CVSS-Score von 10.0?
Der Maximalwert von 10.0 ergibt sich aus der Kombination mehrerer Faktoren: netzwerkbasierter Angriff ohne jegliche Authentifizierung oder Benutzerinteraktion, niedrige Angriffskomplexitaet, maximale Auswirkung auf alle drei Schutzziele und ein erweiterter Scope, der ueber das verwundbare System hinaus alle gehosteten Dienste betrifft.
Kann ich pruefen, ob mein Server von der PSAUX-Ransomware betroffen ist?
Typische Indikatoren sind verschluesselte Dateien mit der Endung .psaux, Loesegeldforderungen in den Verzeichnissen sowie verdaechtige Cronjobs. Pruefen Sie ausserdem die Zugriffsprotokolle auf Anfragen an /dns/getresetstatus und /ftp/getresetstatus von unbekannten IP-Adressen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.