PT-2024-5240 · 1Panel · 1Panel

Junehck · Publicado 2024-06-08 · Atualizado 2024-09-10 · CVE-2024-39911

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Versões do 1Panel anteriores à 1.10.12-lts

Descrição:

O problema está relacionado a uma injeção de SQL não especificada, decorrente do tratamento do parâmetro User-Agent no 1Panel, um painel de controle de gerenciamento de servidores Linux baseado na web. Isso poderia permitir que um invasor remoto executasse código arbitrário e enviasse arquivos arbitrários. Não há soluções alternativas conhecidas para este problema.

Recomendações:

Para versões anteriores à 1.10.12-lts, atualize para a versão 1.10.12-lts para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de tratamento do User-Agent até que a atualização seja aplicada.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2024-05848

CVE-2024-39911

GHSA-7M53-PWP6-V3F5

GO-2024-2992

Produtos afetados

1Panel

Referências · 12

• 🔥 https://github.com/1Panel-dev/1Panel/security/advisories/GHSA-7m53-pwp6-v3f5 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39911.json · Exploit
• 🔥 https://blog.mo60.cn/index.php/archives/1Panel_SQLinjection2Rce.html · Exploit
• https://osv.dev/vulnerability/CVE-2024-39911 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39911 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-05848 · Nota de Segurança
• https://osv.dev/vulnerability/GO-2024-2992 · Aviso do Fabricante
• https://t.me/cvedetector/1154 · Publicação no Telegram
• https://t.me/cvenotify/94071 · Publicação no Telegram
• https://vuldb.com/ru/?id.271893 · Nota
• https://t.me/pentestingnews/49393 · Publicação no Telegram
• https://t.me/cvenotify/86730 · Publicação no Telegram