PT-2022-9948 · Hestiacp · Hestiacp

Publicado 2022-08-18 · Atualizado 2022-08-19 · CVE-2021-30070

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do HestiaCP anteriores à 1.3.5

Descrição

Foi detectada uma falha no HestiaCP que permite que invasores instalem pacotes arbitrariamente, devido aos valores do parâmetro pgk na solicitação de atualização serem transmitidos ao gerenciador de pacotes do sistema operacional.

Recomendações

Para versões anteriores à 1.3.5, atualize para a versão 1.3.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao gerenciador de pacotes ou desativar a funcionalidade de solicitação de atualização até que um patch seja aplicado. Evite usar o parâmetro pgk na solicitação de atualização até que o problema seja resolvido.

Correção

Identificadores relacionados

CVE-2021-30070

Produtos afetados

Hestiacp

Referências · 8

• https://github.com/hestiacp/hestiacp/commit/9a1fccd37f2842fdf96ffb48895c4bfa9788c469 · Correção
• https://github.com/hestiacp/hestiacp/commit/27556a9a43aeaf308b33be224c2e70f2011574e6 · Correção
• https://t.me/cvenotify/34972 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-30070 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-30070 · Aviso do Fabricante
• https://t.me/cvenotify/34842 · Publicação no Telegram
• https://t.me/cvenotify/34860 · Publicação no Telegram
• https://t.me/cibsecurity/48334 · Publicação no Telegram