Podatności HestiaCP

HestiaCP w wersji przed 1.10.5 zawiera lukę obejścia autoryzacji, która pozwala administratorom niebędącym ROOT_USER wykonywać akcje zapisu, podszywając się pod chronione konto ROOT_USER. Atakujący może zalogować się przez parametr loginas i wysłać żądanie POST do /add/cron/, ponieważ flaga tylko do odczytu nie jest sprawdzana, co powoduje uruchomienie jego poleceń przez crond na koncie systemowym chronionego administratora.

HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie terminala webowego, spowodowaną niezgodnością formatu sesji między PHP a Node.js. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wykonanie kodu na poziomie roota poprzez wstrzyknięcie spreparowanych danych do nagłówków HTTP.

W HestiaCP przed wersją 1.9.5 odkryto podatność na trwałe ataki XSS. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzyknąć dowolny kod HTML/JavaScript poprzez utworzenie rekordu DNS z cudzysłowem i ładunkiem skryptu w polu wartości. Aplikacja nie koduje tego pola funkcją htmlspecialchars() w pliku list_dns_rec.php, co pozwala na wykonanie skryptu w przeglądarkach innych użytkowników, w tym administratorów.

HestiaCP przed wersją 1.9.5 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która umożliwia niskouprzywilejowanym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń jako root poprzez wstrzyknięcie znaku apostrofu do niesprawdzonych typów rekordów DNS. Atakujący mogą wykorzystać niewystarczającą walidację danych wejściowych w funkcji is_dns_record_format_valid() w połączeniu z niebezpiecznym parsowaniem opartym na eval w update_dns_zone(), aby przedwcześnie zamknąć przypisanie zmiennej i uzyskać pełne wykonanie kodu na hoście w jednym kroku tworzenia rekordu DNS.

Panel HestiaCP zawiera podatność polegającą na złamaniu kontroli dostępu w funkcji cronjob. Użytkownicy z niskimi uprawnieniami mogą modyfikować zadania cron panelu, aby wykonywać skrypty zarządzania HestiaCP z sudo bez hasła.

HestiaCP w wersjach od 1.2.0 do 1.9.4 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć zabezpieczenia uwierzytelniania poprzez podanie dowolnego adresu IP w nagłówku CF-Connecting-IP bez weryfikacji, czy żądanie pochodzi z sieci Cloudflare.