CyberPanel v2.3.6 memiliki kelemahan Remote Code Execution (RCE) atau eksekusi kode jarak jauh pra-otorisasi yang memungkinkan mengeksekusi perintah di server dengan hak akses root.
Berikut adalah ringkasan yang bisa kami simpulkan
- Kelemahan ini disebabkan karena kurangnya pengecekan otorisasi pada API /dataBases/upgrademysqlstatus, yang memungkinkan melampirkan payload injeksi perintah melalui parameter “statusfile” meski menggunakan metode HTTP selain POST.
- Lokasi seperti /filemanager/upload juga ditemukan kurang otorisasi dan mengizinkan eksekusi perintah atau unggahan file tanpa otorisasi.
- Middleware keamanan yang diimplementasikan dapat dielakkan dengan memanfaatkan bahwa middleware hanya memeriksa injeksi untuk permintaan POST, sedangkan endpoint rawan menerima payload melalui metode lain.
- Security challenges tambahan disediakan untuk menemukan kerentanan lain, seperti bug penciptaan file yang dapat memungkinkan injeksi perintah di restoreStatus atau backupStatus.
Bagaimana Cara Patch atau Update CyberPanel?
Untuk mengatasi kerentanan ini Anda bisa melakukan backup atau snapshot pada server Anda untuk berjaga-jaga apabila terdapat issue pada website Anda ketika melakukan upgrade versi, lalu silahkan buka dashboard CyberPanel untuk melihat versi CyberPanel saat ini melalui menu Version Management
Apabila Anda menggunakan CyberPanel versi 2.3.6 maka sangat disarankan untuk melakukan upgrade ke versi 2.3.7 dengan cara memilih versi 2.3.7 lalu klik Upgrade CyberPanel to selected branch
Untuk lebih detail mengenai celah keamanan pada CyberPanel v 2.3.6 Anda dapat melihat artikel berikut:
https://dreyand.rs/code/review/2024/10/27/what-are-my-options-cyberpanel-v236-pre-auth-rce