1Panel の SQLi 脆弱性 CVE-2024-39907 (CVSS 9.8) が FIX：PoC も提供されている

CVE-2024-39907 (CVSS 9.8): SQLi Flaw Exposes 1Panel Users to Remote Takeover, PoC Published

2024/07/22 SecurityOnline — OSS Web ベースのサーバー管理コントロール・パネル 1Panel に、深刻な脆弱性 CVE-2024-39907 が発見された。 この SQL インジェクションの欠陥は、CVSS スコアが 9.8 と高く、悪用されると深刻な影響を与える可能性があることが示唆されている。

1Panel が提供するのは、Linux サーバーを管理するための、現代的で直感的なインターフェイスであり、ホストの監視／ファイル管理／データベース管理／コンテナ管理などの重要な機能の効率を高める。さらに、このツールは、ユーザー・フレンドリーな設計により人気を博しており、経験豊富なユーザーだけではなく、初心者によるサーバ管理タスクも容易にする。

この脆弱性は、SQL クエリの orderBy 句における、ユーザー入力に対する不適切なフィルタリングに起因する。この脆弱性の悪用に成功した攻撃者は、SQL クエリの動作を変更する悪意のコードの注入が可能になり、最終的に任意のファイルの書き込みや、リモート・コード実行を引き起こす可能性を手にする。

1Panel は、オープンソース・ツールであり、Linux サーバの管理を容易にするため、数多くの利用者を抱えている。この脆弱性は、1Panel のバージョン v1.10.9-tls に影響を及ぼす。ユーザーに対して強く推奨されるのは、バージョン v1.10.12-tls にアップグレードし、この重大な問題に対処することである。

脆弱性 CVE-2024-39907 に対しては、PoC エクスプロイト・コードが公開されているため、早急なパッチ適用が必要となっている。

現在のところ、この脆弱性に対する回避策はない。推奨される唯一の対処法は、最新のバージョンにアップデートし、この潜在的なリスクを軽減することである。

1Panel について調べてみましたが、Wikipedia にはなく、GitHub のページは中国語という状況で、よく分からないという結果になりました。米国やヨーロッパで、そして、日本で、どれくらい利用されているのか、そのあたりも分かりません。しかし、文中では、人気を博していると紹介されており、また、PoC のリリースされているようなので、ご利用のチームは、ご注意ください。