0-Click unauthentifizierte RCE Lücke in CyberPanel gefunden

Am 27. Oktober 2024 wurde eine schwerwiegende Sicherheitslücke im Open Source Hosting Control Panel CyberPanel aufgedeckt. Der Pentester DreyRand entdeckte eine 0-Click pre-auth Remote Code Execution (RCE), die es einem Angreifer ermöglicht, ohne Authentifizierung root-Zugriff auf Systeme zu erlangen. Die Schwachstelle liegt in der Art und Weise, wie Authentifizierungsprüfungen und Befehlsausführungen innerhalb der Anwendung gehandhabt werden. Obwohl ein Patch bereits implementiert wurde, ist die Sicherheitslücke noch nicht offiziell geschlossen, da der Fix noch nicht in die Hauptversion eingespielt wurde. Die betroffenen Nutzer sollten dringend die Sicherheit ihrer Systeme überwachen und entsprechende Maßnahmen ergreifen. Weitere Details sowie ein Proof of Concept (PoC) sind auf GitHub verfügbar.

Tags :

Related Posts

Schwachstelle in OpenSSL: Out-of-Bounds-Speicherzugriffe durch ungültige GF(2^m)-Parameter (CVE-2024-9143)

Die kürzlich entdeckte Schwachstelle CVE-2024-9143 betrifft die Verwendung von low-level GF(2^m) elliptischen Kurven in OpenSSL, die zu Out-of-Bounds-Speicherzugriffen führen können. Obwohl diese Lücke potenziell für das Ausführen von Remote-Code genutzt werden könnte, ist die Wahrscheinlichkeit eines realen Angriffs gering, da die meisten Implementierungen nur “benannte Kurven” unterstützen. Betroffen sind verschiedene Versionen von OpenSSL (3.3, 3.2, 3.1, 3.0, 1.1.1, 1.0.2). Updates werden in den nächsten Versionen veröffentlicht.

Read More

One-Identity: Man-in-the-Middle Angriffe über RDP Protokoll möglich

Im Oktober 2024 wurde eine kritische Sicherheitslücke in One Identity Safeguard für Privileged Sessions (SPS) veröffentlicht, die unter der CVE-2024-40595 registriert ist. Diese Schwachstelle ermöglicht es Angreifern, die Authentifizierung zu umgehen und privilegierte Sitzungen zu übernehmen, indem sie sich in den Kommunikationsfluss des Remote Desktop Protocols (RDP) einschleichen. Die Schwachstelle tritt auf, wenn unter bestimmten Konfigurationen sensible Informationen unverschlüsselt zwischen dem Client und der SPS-Appliance übertragen werden, was einen Man-in-the-Middle (MitM)-Angriff ermöglicht.

Read More

Datenleck bei TÜV und DEKRA: KFZ Gutachten frei im Netz einsehbar

Laut einem Bericht von Günther Born auf seinem Blog Borncity.com wurden Kfz-Gutachten der Prüforganisationen TÜV Rheinland und DEKRA im Internet ohne ausreichenden Schutz abrufbar. Dieser Vorfall, der am 19. Oktober 2024 bekannt wurde, betrifft zahlreiche Kfz-Gutachten, die persönliche Informationen der Fahrzeughalter sowie technische Daten der Fahrzeuge enthielten. Betroffen sind Gutachten, die in Zusammenhang mit Unfallfahrzeugen oder Zustandsbewertungen erstellt wurden.

Read More