Trusted Design

CVE-2024-51378 の詳細

CVEの情報

説明:
getresetstatus in dns/views.py and ftp/views.py in CyberPanel (aka Cyber Panel) before 1c0c6cb allows remote attackers to bypass authentication and execute arbitrary commands via /dns/getresetstatus or /ftp/getresetstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.

CVE更新日: 2024-10-29 23:15:04.083000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2024-12-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.947480000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-51378は、ウェブホスティング管理ツール「CyberPanel」に存在する認証バイパスおよびリモートコード実行 (RCE) の脆弱性です。

1. 脆弱性の概要

CVE-2024-51378は、CyberPanelのdns/views.pyおよびftp/views.py内のgetresetstatus関数におけるコマンドインジェクションの脆弱性です。攻撃者は、認証をバイパスし、細工されたOPTIONS HTTPリクエストを/dns/getresetstatusまたは/ftp/getresetstatusエンドポイントに送信することで、任意のOSコマンドをリモートで実行できます。これは、secMiddlewareがPOSTリクエストのみを検証し、statusfileプロパティにおけるシェルメタキャラクターの不適切な処理に起因します。

この脆弱性は、PSAUXランサムウェアグループを含む脅威アクターによって既に悪用されていることが確認されています。

1.1 影響

  • 認証されていない攻撃者が、脆弱なCyberPanelサーバー上で任意のOSコマンドを実行できます。
  • 攻撃が成功すると、サーバーの完全な制御、機密ドメインへの不正アクセス、および潜在的なデータ侵害につながります。
  • PSAUX、C3RB3R、Babukの亜種を含むランサムウェアが展開され、サーバーファイルの暗号化が行われた事例が報告されています。
  • リモートコード実行および権限昇格の可能性があります。

1.2 深刻度

  • CVSSスコア: 9.8 (CVSS v3.1、クリティカル) と評価されています。一部のNVD情報ではCVSS 10.0も報告されています。
  • EPSS (Exploit Prediction Scoring System): 2026年9月23日時点で、悪用される可能性が94.7%と非常に高いとされています。
  • CISA Known Exploited Vulnerabilities (KEV) Catalog: 米国CISA（サイバーセキュリティ・インフラセキュリティ庁）のKEVカタログに「活発に悪用されている脆弱性」として登録されており、緊急の対策が求められます。
  • CISAによる連邦政府機関の是正期限は2024年12月25日です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、CyberPanelソフトウェア自体に存在します。 * CyberPanelのバージョン 2.3.6 およびパッチが適用されていない2.3.7 が影響を受けます。 * 修正はCyberPanelバージョン2.3.8以降（またはコミット1c0c6cb以前）で提供されています。

2.2 影響を受ける設定

  • dns/views.pyおよびftp/views.py内のgetresetstatus関数。
  • /dns/getresetstatusまたは/ftp/getresetstatusエンドポイントへのOPTIONS HTTPリクエスト処理。
  • statusfileパラメータの入力検証の不備と、secMiddlewareがPOSTリクエストのみを検証する設計上の欠陥。

3. 影響を受けた時の兆候

  • /root/.ssh/authorized_keysやその他の重要なアカウントに未知のSSH鍵が出現する。
  • 身に覚えのないプロセスやcrontabのアクティビティ。
  • 不審なIPアドレスからのSSHログインまたはセッション。
  • 重要なシステムファイルの変更 (ファイル整合性監視アラート)。
  • SSH鍵の不正取得やリモートコマンド実行を示すWazuh/OSSEC/Suricata/IDSログ。
  • システム上のランサムウェアメモ (.psaux、.encryp、.lockedなどの拡張子)。
  • サーバーの完全な制御が奪われた、または機密ドメインへの不正アクセスが疑われる。

4. 推奨対策

4.1 本対策

  • CyberPanelを直ちに公式の修正済みバージョン（例: 2.3.8以降）にアップデートしてください。

4.2 暫定回避策（緩和策）

パッチをすぐに適用できない場合は、以下の緩和策を検討してください。 * CyberPanel管理パネル（デフォルトポートTCP/8090）へのアクセスを制限します。ファイアウォールまたはネットワークACLを使用して、信頼できるIPアドレスからのみアクセスを許可するように設定します。 * 不審なリクエストをブロックするためのWAF/IPSルールを適用します。 * SSH鍵の監査を実施し、/root/.ssh/authorized_keysおよびその他の重要なアカウントにある不正なSSH鍵を確認して削除します。侵害が疑われる場合は、すべてのアクセス鍵をローテーションし、パスワードやAPIトークンを変更します。 * システム整合性チェックを実行し、FIM（ファイル整合性監視）を使用してファイルの変更を検出します。cronジョブ、systemdユニットファイル、スタートアップスクリプトを確認します。 * 侵害が疑われる場合は、システムをパブリックネットワークから隔離します。 * 根本原因が対処されたことを確認した後、必要に応じて信頼できるバックアップからシステムを復元します。

その他に解説すべき観点

  • CISA KEVカタログへの掲載: この脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログにリストされており、悪用が確認されたことを示しています。これは、米国連邦政府機関に対して、特定の期限までにこの脆弱性に対処することを義務付けています。
  • ランサムウェアキャンペーンでの悪用: PSAUX、C3RB3R、Babukの亜種などのランサムウェアグループがこの脆弱性を積極的に悪用し、サーバーのファイル暗号化やデータ窃取を行っています。
  • 公開PoCの存在: 公開されたProof-of-Concept（PoC）エクスプロイトが存在するため、広範な悪用が容易になっています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る