Eine ungepatchte Schwachstelle in Parallels‘ Kontroll-Panel Plesk ermöglicht Angreifern unter Umständen, ganze Webserver zu übernehmen. Ein User mit dem Handle kingcope hat sie entdeckt und auf einer Full-Disclosure-Liste auf Seclists.org öffentlich gemacht. Betroffen sind allerdings nur ältere Versionen: 8.6, 9.0, 9.3 und 9.5.4.
Trend Micro weist darauf hin, dass „aus verschiedenen Gründen nicht jeder ständig auf die neuste Version aktualisiert. Daher könnten wir in naher Zukunft durchaus von diesem Exploit betroffene Websites erleben.“ Demnach handelt es sich um einen PHP-Konfiguartionsfehler. „Diese Schwachstelle ist mit dem verfügbaren Code sehr leicht zu nutzen und verschafft dem Angreifer komplette Kontrolle des Systems mit Webservice-Privilegien.“
Auf der Full-Disclosure-Liste merkt überdies ein Anwender namens jtag an, er habe „etwas entdeckt, was ein beträchtliches Botnetz zu sein scheint und über diese Lücke Webserver mit einem bösartigen IRC-Bot infiziert, der in PERL geschrieben ist.“ Man habe nämlich mit den gesammelten Daten eine Liste infizierter Hosts erstellt und automatisch die Version ihrer Plesk-Installationen abgefragt. „Auf über 900 dieser Hosts liefen anfällige Plesk-Installationen, was unseren Verdacht bestätigt hat.“
Parallels hat sich ebenfalls zu Wort gemeldet und einen Workaround für diejenigen zur Verfügung gestellt, die nicht auf die jüngste Version aktualisieren können oder wollen. Es teilt außerdem mit: „Diese Schwachstelle ist eine Variante der bekannten Sicherheitslücke CVE-2012-1823, die mit dem CGI-Modus älterer Plesk-Versionen zusammenhängt. Alle aktuell unterstützten Versionen von Parallels Plesk Panel 9.5, 10.x und 11.x ebenso wie Parallels Plesk Automation sind so nicht angreifbar.“
[mit Material von Tom Brewster, TechWeekEurope.co.uk]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Über drei Millionen Angriffsversuche unter Deckmantel von Minecraft / YouTube-Star Mr. Beast als prominenter Köder
Die Prognose für die Anfahrt bezieht das Verkehrsaufkommen, die Stellplatzverfügbarkeit sowie die Lenk- und Ruhezeiten…
Unternehmen können mit Casebase Portfolio an Daten- und KI-Anwendungsfällen organisieren.
Smart-TV oder Saugroboter: Nutzer schützen ihre smarten Heimgeräte zu wenig, zeigt eine repräsentative BSI-Umfrage.
Im Benchmark erreicht der neue Core Ultra 200V eine Laufzeit von 14 Stunden. Intel tritt…
Jeder dritte hält sich damit für unsichtbar. Wie widersprüchlich unser Datenschutzverhalten oft ist, zeigt eine…