Một lỗ hổng nghiêm trọng vừa được phát hiện trong 1Panel, bảng điều khiển quản lý máy chủ nguồn mở dựa trên web.

Lỗ hổng có mã theo dõi CVE-2024-39907 (CVSS 9.8), bắt nguồn từ việc lọc không đầy đủ thông tin đầu vào người dùng trong mệnh đề orderBy của truy vấn SQL. Khai thác thành công lỗ hổng, hacker có thể chèn mã độc để sửa đổi hành vi của truy vấn SQL, dẫn đến ghi tệp tùy ý và thực thi mã từ xa (RCE).

1Panel có lượng người dùng lớn do tính chất nguồn mở và dễ sử dụng trong việc quản lý máy chủ Linux.

Lỗ hổng ảnh hưởng đến phiên bản 1Panel v1.10.9-tls. Người dùng được khuyến cáo nâng cấp lên phiên bản v1.10.12-tls để giải quyết vấn đề nghiêm trọng này.

PoC cho CVE-2024-39907 đã được công khai, do đó quản trị viên cần khẩn trương áp dụng bản vá sớm nhất có thể.

Nguồn: Security Online