Böswillige Hacker haben begonnen, die kritische Sicherheitslücke CVE-2022-44877 in nicht gepatchten Versionen des CentOS Web Panel (CWP), einer beliebten kostenlosen Webhosting-Oberfläche mit geschlossenem Quellcode, auszunutzen.

Die Sicherheitslücke ermöglicht die Ausführung von Remote-Code ohne Authentifizierung und wurde im Oktober behoben, nachdem Numan Turle, ein Forscher bei Gais Cyber Security, sie entdeckt und gemeldet sowie am 3. Januar den Proof-of-Concept-Exploit veröffentlicht hatte. GreyNoise und die Shadowserver Foundation verzeichneten daraufhin aktive Ausnutzung der Schwachstelle; letztere registrierte die ersten Ausnutzungsversuche am 6. Januar.

Obwohl die kritische Sicherheitslücke im Control Web Panel offiziell am 25. Oktober 2022 behoben wurde, häufen sich zunehmend Hinweise auf eine aktive Ausnutzung dieser Schwachstelle.

CVE-2022-44877 ist eine Schwachstelle, die eine Remote-Codeausführung ermöglicht. Sie wird durch eine einzelne Codezeile in der Datei „/login/index.php“ verursacht und ermöglicht es nicht authentifizierten Angreifern, Code auf dem Server auszuführen, auf dem das Control Web Panel läuft.

Zur Protokollierung von Fehlern verwendet die problematische Zeile folgende Struktur: Es wird echo: “incorrect entry, IP address, HTTP REQUEST URI” zurückgegeben. Den Forschern zufolge besteht die Möglichkeit, Befehle wie beispielsweise $(blabla) – eine Bash-Funktion – auszuführen, da die Anfrage-URI vom Benutzer stammt und in Anführungszeichen eingeschlossen ist.

Da die Protokollierungsfunktionen auf Bash basieren (über den Befehl „echo“) und der URI-Parameter der HTTP-Anfrage vom Benutzer gesteuert wird, kann ein Angreifer die in Bash integrierte Funktion „Command Substitution“ nutzen, um eine HTTP-Anfrage zu erstellen, die „bösartige“ Systembefehle enthält.

Bei einigen Angriffen wird der Exploit zum Starten einer Reverse-Shell genutzt. Mithilfe des Python-Moduls „pty“ werden die verschlüsselten Payloads in Python-Befehle umgewandelt, die den Rechner des Angreifers aufrufen und eine Terminal-Sitzung auf dem anfälligen Rechner starten.

Laut GreyNoise nutzen derzeit mindestens vier verschiedene IP-Adressen aktiv diese Sicherheitslücke aus. Systemadministratoren werden daher gebeten, umgehend zu handeln und CWP auf die aktuellste verfügbare Version zu aktualisieren, derzeit die am 1. Dezember 2022 veröffentlichte Version 0.9.8.1148.

• Cybersicherheit
• Control Panels
• CentOS
• Neuigkeiten