1Panel Users Urged to Patch After Critical SQLi Flaws (CVE-2024-39911, CVSS 10) Discovered
2024/07/22 SecurityOnline — OSS のサーバー管理ツール 1Panel に、SQL インジェクションの致命的な脆弱性 CVE-2024-39911 が見つかり、世界中の数百万台の Linux サーバが危険に直面している。この脆弱性の CVSS スコアは 10.0 と評価されており、容易に悪用される可能性が高いと示唆される。
1Panel は、Linux サーバの管理を簡素化する、モダンでユーザー・フレンドリーなインターフェイスで有名である。ホスト監視／ファイル管理／データベース管理／コンテナ管理などの、さまざまな機能を提供するため、管理者にとって不可欠なツールとなっている。
この脆弱性 CVE-2024-39911 は、User-Agent の処理を介した不特定の SQL インジェクションを引き起こすものだ。この脆弱性が深刻な理由は、プロジェクト内に複数の SQL インジェクション・ポイントが存在し、その中には不適切なフィルタリングにより増幅されるものも存在する点にある。この見落としを悪用する攻撃者は、データベースのクエリー操作を可能にし、任意のファイル書き込み／リモート・コード実行 (RCE) を引き起こす可能性を手にする。したがって、悪用に成功した攻撃者は、影響を受けたサーバの完全な制御が可能になり、データの完全性とシステム・セキュリティに重大なリスクをもたらす。
さらに心配なことに、脆弱性 CVE-2024-39911 の PoC エクスプロイトと技術的な詳細が、すでに表面化しており、広範囲に悪用される恐れが高まっている。この脆弱性の悪用に成功した攻撃者は、機密データの搾取／重要なサービスの妨害などに加えて、リモートコード実行や、マルウェアのインストールなども可能にするため、きわめて危険な状況が生じる。
すでに 1Panel の開発者は、CVE-2024-39911 に加えて、別の SQLi の脆弱性であるCVE-2024-39907 にもパッチが適用する、バージョン v1.10.12-tls をリリースしている。回避策は存在しないため、ユーザーに強く求められるのは、早急なアップグレードとなる。
同じく 7月22日付けで、「1Panel の SQLi 脆弱性 CVE-2024-39907 (CVSS 9.8) が FIX：PoC も提供されている」という記事をポストしています。上記のバージョン v1.10.12-tls で、この２つの脆弱性が FIX するとされています。ご利用のチームは、アップデートを お急ぎください。
IoT OT Security News 
You must be logged in to post a comment.