【漏洞通告】Control Web Panel文件包含漏洞 (CVE-2021-45467)
發布時間 2022-01-240x00 漏洞概述
2022 年 1 月 22 日，研究人員披露了Control Web Panel中2個漏洞的詳細信息，分別為：文件包含漏洞 (CVE-2021-45467)和文件寫入漏洞 (CVE-2021-45466)。
0x01 漏洞詳情
Control Web Panel（CWP，以前是CentOS Web Panel），是一個開源的Linux控制面板軟件，用于部署虛擬主機環境，并被超過20萬臺服務器使用。
研究人員本次披露的2個漏洞能夠以root身份執行完整的預認證RCE，如下：
Control Web Panel文件包含漏洞 (CVE-2021-45467)
Control Web Panel文件寫入漏洞 (CVE-2021-45466)
具體來說，當應用程序中使用的兩個無需身份驗證即可訪問的PHP頁面"/user/login.php "和"/user/index.php"未能充分驗證一個腳本文件的路徑時，將導致文件包含漏洞，成功利用此漏洞的攻擊者不但能夠訪問受限制的 API 端點，還可以與任意文件寫入漏洞 ( CVE-2021-45466 ) 結合使用，可在服務器上實現遠程代碼執行。
0x02 處置建議
目前這些漏洞已經修復，建議受影響用戶及時升級更新到最新版本CWP7: 0.9.8.1120。
下載鏈接：
https://control-webpanel.com/changelog
0x03 參考鏈接
https://control-webpanel.com/changelog
https://octagon.net/blog/2022/01/22/cve-2021-45467-cwp-centos-web-panel-preauth-rce/
https://thehackernews.com/2022/01/critical-bugs-in-control-web-panel.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45466
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2022-01-24 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號