CloudPanel 是一款頗為知名的 Linux 管理麵板，方便用戶管理諸如 Nginx、PHP、MySQL、Apache 等軟件的安裝和部署，同時也可以創建多個網站並隔離等。 目前安全公司披露了 CloudPanel 存在的多個漏洞，說是漏洞可能不太準確，這些問題更像是缺陷，雖然是缺陷但潛在危害並不比漏洞小。 網絡安全公司 Rapid7 的研究人員 Tod 在 2022 年 11 月發現 CloudPanel 存在多個問題，當時研究人員已經負責任的將這些問題通報給開發商 MGT-COMMERCE。 但直到本文發布時，仍然有 3 處缺陷沒有被修複，開發商隻解決了一個與軟件安裝腳本有關的小問題。
CloudPanel 在 AWS、Azure、Google Cloud 等公有雲平台的市場裏很受歡迎，在麵板類裏排名第一，考慮到用戶量如此多，漏洞修複還這麽慢確實不應該，使用 CloudPanel 麵板的用戶應該多多注意。 問題 1：下載內容未經驗證 (已修複) 研究人員發現 CloudPanel 通過 curl to bash 安裝過程沒有進行完整性檢查，因此如果攻擊者劫持或替換安裝包，都可能發起供應鏈攻擊。 接到通報後 CloudPanel 在線更新了腳本支持了加密安全校驗解決問題。 問題 2：附帶弱防火牆規則替代默認規則 (未修複) 正常情況下係統自帶的防火牆規則屬於中等安全級別，用戶可以根據自己的需要修改防火牆規則加強安全性。 但 CloudPanel 在安裝過程中會將服務器防火牆規則替換為更弱雞的規則，例如原本管理員配置的防火牆規則是僅允許特定 IP/IP 端訪問服務器，安裝 CloudPanel 後這些規則會刪了，實際上就是弱化了安全性。 問題 3：超級管理員賬戶竟然是空的 (未修複) CloudPanel 安裝後超級管理員賬戶是空的，任何人都可以創建管理員賬戶。這是一個比較嚴重的問題，因為各種惡意爬蟲無時不刻不再檢索存在弱點的服務器，一旦被掃描到黑客就可以趕在用戶前創建管理員賬戶從而接管服務器。 目前 CloudPanel 更新了一份支持文檔要求用戶安裝成功後立即創建管理員賬戶，避免被機速更快的機器人率先創建了管理員。 問題 4：所有 CloudPanel 都是用相同的私鑰🫠🫠🫠 研究人員還發現 CloudPanel 使用靜態 SSL 證書安裝，這導致所有安裝的麵板私鑰都是相同的，攻擊者也可以通過 SSL 證書的指紋來找到安裝 CloudPanel 的服務器。 由於私鑰是相同的，因此攻擊者還可以發起 MiMT 中間人攻擊，劫持用戶與 CloudPanel 之間的流量，嗅探內容包括解密用戶輸入的賬號和密碼。 目前還不知道 CloudPanel 為啥這麽長時間了還沒解決問題，但如果你使用 CloudPanel 的話，最好提高警惕，包括檢查管理員賬戶設置、配置自己的 SSL 證書、檢查 ufw 防火牆規則。 |
“2021庐州夜十大特色美食街区”颁奖典礼举行淮南牛肉汤非遗文化展览馆近日开馆铜陵市图书馆开展制作铜板画了解铜文化活动《徽州文物图录》首发推进非遗文化进校园具有重要的现实意义桐城双港歌戏协会《移风易俗开新篇》赢得叫好刘铭传故居将复原家庭私塾场景蜱虫叮咬致六安5人死亡 07/13异地养老如何解后顾之忧？养老补贴应“跟人走” 08/20上海白领把乡村咖啡馆开在阳澄湖 05/19https://86aaj.shop/%e6%b8%85%e6%bd%94%e9%9a%8a%e8%80%83%e8%a9%a6%e6%80%8e%e9%ba%bc%e6%ba%96%e5%82%99%ef%bc%9f5%e5%a4%a7%e9%ab%98%e5%88%86%e7%a7%98%e8%a8%a3%e4%b8%80%e6%ac%a1%e5%85%ac%e9%96%8b/https://96vb4.shop/2025%e5%b9%b4%e7%8e%84%e9%b3%b3%e9%b8%9a%e9%b5%a1%e5%83%b9%e6%a0%bc%e5%85%a8%e8%a7%a3%e6%9e%90%ef%bc%9a%e6%96%b0%e6%89%8b%e5%bf%85%e7%9c%8b%e9%81%b8%e8%b3%bc%e6%8c%87%e5%8d%97%e8%88%87%e9%a3%bc/https://96vb4.shop/%e7%8e%84%e9%b3%b3%e9%b8%9a%e9%b5%a1%e5%a3%bd%e5%91%bd%ef%bc%9a%e9%a3%bc%e9%a4%8a%e6%8c%87%e5%8d%97%e8%88%87%e5%bd%b1%e9%9f%bf%e5%9b%a0%e7%b4%a0%e5%85%a8%e8%a7%a3%e6%9e%90-2025%e6%9b%b4%e6%96%b0/https://95mtn.shop/%e6%aa%a2%e5%af%9f%e4%ba%8b%e5%8b%99%e5%ae%98%e7%9a%84%e6%8c%91%e6%88%b0%e8%88%87%e6%a9%9f%e6%9c%83/https://86aaj.shop/%e8%88%aa%e5%a4%aa%e7%b3%bb%e5%87%ba%e8%b7%af%e8%96%aa%e6%b0%b4%e5%b7%ae%e5%be%88%e5%a4%a7%ef%bc%9f5%e5%a4%a7%e7%99%bc%e5%b1%95%e6%96%b9%e5%90%91%e8%96%aa%e8%b3%87%e5%85%a8%e8%a7%a3%e6%9e%90/https://96vb4.shop/%e9%bb%91%e9%a0%ad%e5%87%b1%e5%85%8b%e5%83%b9%e6%a0%bc%ef%bc%9a2025%e5%b9%b4%e5%8f%b0%e7%81%a3%e9%b3%a5%e5%8f%8b%e5%bf%85%e7%9c%8b%e7%9a%84%e9%81%b8%e8%b3%bc%e8%88%87%e9%a3%bc%e9%a4%8a%e6%8c%87/https://86aaj.shop/%e8%ad%b7%e7%90%86%e5%b8%ab%e5%92%8c%e8%ad%b7%e5%a3%ab%e7%9a%84%e5%b7%ae%e5%88%a5%e6%98%af%e4%bb%80%e9%ba%bc%ef%bc%9f3%e5%a4%a7%e9%97%9c%e9%8d%b5%e8%ae%93%e4%bd%a0%e7%a7%92%e6%87%82/https://86aaj.shop/%e9%81%a9%e5%90%8850%e6%ad%b2%e7%9a%84%e5%b7%a5%e4%bd%9c%e6%9c%89%e5%93%aa%e4%ba%9b%ef%bc%9f5%e5%a4%a7%e7%86%b1%e9%96%80%e9%81%b8%e6%93%87%ef%bc%8c%e5%b9%b4%e5%be%8c%e8%bd%89%e8%81%b7%e6%88%90/https://96vb4.shop/%e8%b5%a4%e7%b4%85%e8%85%b9%e5%b0%8f%e5%a4%aa%e9%99%bd%ef%bc%9a2025%e5%b9%b4%e5%8f%b0%e7%81%a3%e9%a3%bc%e9%a4%8a%e6%8c%87%e5%8d%97%e8%88%87%e5%b8%b8%e8%a6%8b%e5%95%8f%e9%a1%8c%e8%a7%a3%e7%ad%94/https://86aaj.shop/%e5%8f%b0%e7%81%a3%e7%b6%93%e7%b4%80%e5%85%ac%e5%8f%b8%e8%a9%a6%e9%8f%a1%e8%b6%85%e7%81%ab%ef%bc%815%e5%a4%a7%e6%ba%96%e5%82%99%e6%8a%80%e5%b7%a7%e5%85%ac%e9%96%8b/
