PT-2024-19921 · 1Panel · 1Panel

Linyz-Tel · Publicado 2024-03-09 · Atualizado 2024-06-04 · CVE-2024-2352

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do 1Panel até 1.10.1-lts

Descrição

Foi encontrada uma falha crítica na função baseApi.UpdateDeviceSwap do arquivo /api/v1/toolbox/device/update/swap. A manipulação do argumento Path com uma entrada específica leva à injeção de comando. O ataque pode ser lançado remotamente. A exploração foi divulgada ao público e pode estar em uso.

Recomendações

Para corrigir este problema, aplique um patch à versão afetada do 1Panel.

Como solução temporária, considere restringir o acesso ao endpoint /api/v1/toolbox/device/update/swap até que um patch esteja disponível.

Evite usar o argumento Path no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2024-2352

GHSA-X2VG-5WRF-VJ6V

GO-2024-2636

Produtos afetados

1Panel

Referências · 13

• 🔥 https://github.com/1Panel-dev/1Panel/pull/4131 · Exploit
• 🔥 https://github.com/1Panel-dev/1Panel/pull/4131#issue-2176105990 · Exploit
• https://github.com/1Panel-dev/1Panel/pull/4131/commits/0edd7a9f6f5100aab98a0ea6e5deedff7700396c · Correção
• https://github.com/1Panel-dev/1Panel · Nota
• https://osv.dev/vulnerability/CVE-2024-2352 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-2352 · Nota de Segurança
• https://t.me/cvenotify/73441 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1766645985176846397 · Publicação no Twitter
• https://github.com/advisories/GHSA-x2vg-5wrf-vj6v · Nota
• https://vuldb.com/?id.256304 · Nota
• https://vuldb.com/?ctiid.256304 · Nota
• https://osv.dev/vulnerability/GHSA-x2vg-5wrf-vj6v · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2636 · Aviso do Fabricante