BDU:2023-00039

Опубликовано: 25 окт. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость реализации сценария login/index.php приложения для управления серверами CentOS Web Panel связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды путем отправки специально созданных HTTP-запросов

Вендор

The CentOS Project

Наименование ПО

CentOS Web Panel

Версия ПО

до 0.9.8.1147 (CentOS Web Panel)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений;

- при необходимости, удаленного доступа обеспечение защиты канала связи физическими либо криптографическими методами (например, VPN).

Использование рекомендаций:

https://nvd.nist.gov/vuln/detail/CVE-2022-44877

https://gist.github.com/numanturle/c1e82c47f4cba24cff214e904c227386

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-44877
CVE

EPSS

Процентиль: 100%

0.94457

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-44877

CVSS3: 9.8

nvd

около 3 лет назад

login/index.php in CWP (aka Control Web Panel or CentOS Web Panel) 7 before 0.9.8.1147 allows remote attackers to execute arbitrary OS commands via shell metacharacters in the login parameter.

GHSA-fxw7-8r5q-w2v4

CVSS3: 9.8

github

около 3 лет назад

RESERVED An issue in the /login/index.php component of Centos Web Panel 7 before v0.9.8.1147 allows unauthenticated attackers to execute arbitrary system commands via crafted HTTP requests.

EPSS

Процентиль: 100%

0.94457

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2