Krytyczna luka w Dokploy umożliwiająca zdalne wykonanie kodu

Co wiadomo

W Dokploy przed wersją 0.29.13 mechanizm tworzenia kopii zapasowych i przywracania danych bezpośrednio interpoluje dane z bazy kontrolowane przez użytkownika do poleceń powłoki, co pozwala uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemowych na hoście. Luka ta została załatana w wersji 0.29.13.

Wpływ biznesowy

Luka o wysokiej krytyczności (CVSS 9.6) umożliwia administratorowi z uprawnieniami w Dokploy wykonanie dowolnych poleceń na hoście, co może prowadzić do pełnego przejęcia systemu, wycieku danych lub zakłócenia działania usług. Operatorzy infrastruktury powinni pilnie zweryfikować wersję oprogramowania i ograniczyć dostęp do panelu administracyjnego.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie Dokploy do wersji 0.29.13 lub nowszej, w której luka została załatana. Warto również ograniczyć dostęp do interfejsu administracyjnego tylko do zaufanych sieci, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd uprawnień użytkowników. W przypadku korzystania z usług DataHouse, prosimy o weryfikację wersji oprogramowania i skorzystanie z opcji zarządzanego patchowania oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference