PT-2024-3101 · 1Panel · 1Panel

Wanghe-Fit2Cloud · Publicado 2024-04-18 · Atualizado 2025-02-11 · CVE-2024-30257

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do 1Panel anteriores à 1.10.3-lts

Descrição

O problema está relacionado à verificação de senha no código-fonte do 1Panel, que utiliza o símbolo != em vez de hmac.Equal. Isso pode levar a uma vulnerabilidade de ataque de tempo, permitindo potencialmente que um invasor quebre senhas. Todos os usuários deste produto estão afetados.

Recomendações

Para versões anteriores à 1.10.3-lts, atualize para a versão 1.10.3-lts para corrigir a vulnerabilidade.

Como solução temporária, considere modificar a verificação de senha para usar hmac.Equal em vez do símbolo != até que um patch seja aplicado.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

BDU:2024-03301

CVE-2024-30257

GHSA-6M9H-2PR2-9J8F

GO-2024-2734

Produtos afetados

1Panel

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/30xxx/CVE-2024-30257.json · Exploit
• https://github.com/1Panel-dev/1Panel/security/advisories/GHSA-6m9h-2pr2-9j8f · Aviso do Fabricante
• https://github.com/1Panel-dev/1Panel · Nota
• https://github.com/1Panel-dev/1Panel/blob/dev/backend/app/service/auth.go#L81C5-L81C26 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-30257 · Nota de Segurança
• https://t.me/cvenotify/110880 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-30257 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1781029356665508046 · Publicação no Twitter
• https://vuldb.com/?id.261519 · Nota
• https://osv.dev/vulnerability/GHSA-6m9h-2pr2-9j8f · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2734 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-03301 · Nota de Segurança