Parallels Plesk Panel, più noto semplicemente come Plesk, è un software commerciale per la gestione di spazi di web hosting. Molti provider di infrastrutture dedicate al web lo offrono come pannello di controllo (per la gestione delle varie operazioni) ed è proprio per questo che oltre 360.000 siti sono a rischio attacco per via di un bug scoperto di recente.
Il ricercatore di sicurezza kingcope ha pubblicato un exploit in grado di far ottenere ad un eventuale hacker che tenta un attacco il controllo remoto di un server gestito con Plesk.
La vulnerabilità sarebbe presente in moltissime versioni di Plesk: 8.6, 9.0, 9.2, 9.3. Ad essere esclusa dal problema dovrebbe essere la versione 9.5.4, almeno stando ai commenti pubblicati su Reddit da parte di utenti che hanno testato l’exploit.
Il problema nascerebbe a causa di un settaggio predefinito in Plesk, che rende visualizzabile la directory /usr/bin in Internet. Ora chi è un utilizzatore di linux sa benissimo l’importanza di questa directory. E’ uno dei contenitori più grandi per i files eseguibili di sistema, e l’exploit creato da kingcope utilizza proprio questo approccio: attraverso il linguaggio PHP vengono eseguiti dei binari contenuti in quella directory, in grado di aprire una shell di comando direttamente sul computer dell’utente malintenzionato.
Al momento Parellels, la società che produce Plesk, non ha pubblicato delle patch o delle istruzioni che consentano di risolvere tale vulnerabilità.
Vi terremo aggiornati.
Ti potrebbero interessare:
Questa vulnerabilità è una variante della già nota vulnerabilità CVE-2012-1823 relativa alla modalità CGI di PHP che si manifesta solo nelle vecchie versioni di Plesk. Tutte le versioni attualmente supportate di Parallels Plesk Panel 9.5, 10.x ed 11.x, così come il Parallels Plesk Automation, non sono vulnerabili. Se un utente utilizza versioni vecchie e non più supportate di Parallels Plesk Panel dovrebbe eseguire l’aggiornamento alla versione più recente. Per le vecchie versioni di Parallels Plesk Panel abbiamo fornito una soluzione consigliata e non supportata descritta nell’articolo http://kb.parallels.com/en/113818
Grazie per il chiarimento.