Deux vulnérabilités de sécurité qui affectent le logiciel Control Web Panel (CWP) peuvent être enchaînées par des attaquants non authentifiés pour obtenir l’exécution de code à distance (RCE) en tant que root sur des serveurs Linux vulnérables.
CWP, anciennement connu sous le nom de Panneau Web CentOS, est un panneau de contrôle Linux gratuit pour la gestion des serveurs d’hébergement Web dédiés et des serveurs privés virtuels.
Les deux failles de sécurité découvertes par Octagon Networks Paulos Yibelo sont une vulnérabilité d’inclusion de fichier (CVE-2021-45467) et un bug d’écriture de fichier (CVE-2021-45466) qui conduisent à RCE lorsqu’ils sont enchaînés.
En bref, une exploitation réussie nécessite de contourner les protections de sécurité pour empêcher les attaquants d’atteindre la section restreinte de l’API sans authentification.
Cela peut être fait en enregistrant une clé API à l’aide du bug d’inclusion de fichier et en créant un fichier de clés autorisées malveillantes sur le serveur à l’aide de la faille d’écriture de fichier.
Alors que la vulnérabilité d’inclusion de fichiers CVE-2021-45467 a été corrigée, Octagon Networks dit avoir vu comment « certains ont réussi à inverser le correctif et à exploiter certains serveurs ».
Octagon Networks dit que, bien que la vulnérabilité d’inclusion de fichiers CVE-2021-45467 ait été corrigée, ils ont vu comment « certains ont réussi à inverser le correctif et à exploiter certains serveurs ».
Les chercheurs en sécurité ont également déclaré qu’ils publieraient un exploit de preuve de concept pour cette chaîne RCE de pré-authentification après que suffisamment de serveurs Linux exécutant CWP seront mis à niveau vers la dernière version.
Selon les développeurs de CWP, leur logiciel prend en charge les systèmes d’exploitation suivants : CentOS, Rocky Linux, Alma Linux et Oracle Linux
Alors que le site CWP affirme qu’environ 30 000 serveurs exécutent CWP, EZpublish-france.fr a trouvé presque 80 000 serveurs CWP exposés à Internet sur BinaryEdge.
Plus de 200 000 peuvent également être trouvés sur Shodan et Censys, selon les chercheurs qui ont découvert la chaîne RCE de pré-authentification.