CloudPanel 是安全一款頗為知名的 Linux 管理面板，方便用戶管理諸如 Nginx、警告PHP、開源濟(jì)南提包夜美女（微信180-4582-8235）一二線城市外圍模特伴游預(yù)約、空姐、模特、留學(xué)生、熟女、白領(lǐng)、老師、優(yōu)質(zhì)資源覆蓋全國MySQL、面板Apache 等軟件的存多安裝和部署，同時(shí)也可以創(chuàng)建多個(gè)網(wǎng)站并隔離等。個(gè)安關(guān)注更新

目前安全公司披露了 CloudPanel 存在的全漏多個(gè)漏洞，說是洞缺漏洞可能不太準(zhǔn)確，這些問題更像是陷請(qǐng)缺陷，雖然是后續(xù)缺陷但潛在危害并不比漏洞小。

網(wǎng)絡(luò)安全公司 Rapid7 的藍(lán)點(diǎn)研究人員 Tod 在 2022 年 11 月發(fā)現(xiàn) CloudPanel 存在多個(gè)問題，當(dāng)時(shí)研究人員已經(jīng)負(fù)責(zé)任的安全將這些問題通報(bào)給開發(fā)商 MGT-COMMERCE。

但直到本文發(fā)布時(shí)，警告濟(jì)南提包夜美女（微信180-4582-8235）一二線城市外圍模特伴游預(yù)約、空姐、模特、留學(xué)生、熟女、白領(lǐng)、老師、優(yōu)質(zhì)資源覆蓋全國仍然有 3 處缺陷沒有被修復(fù)，開源開發(fā)商只解決了一個(gè)與軟件安裝腳本有關(guān)的面板小問題。

CloudPanel 在 AWS、Azure、Google Cloud 等公有云平臺(tái)的市場里很受歡迎，在面板類里排名第一，考慮到用戶量如此多，漏洞修復(fù)還這么慢確實(shí)不應(yīng)該，使用 CloudPanel 面板的用戶應(yīng)該多多注意。

問題 1：下載內(nèi)容未經(jīng)驗(yàn)證 (已修復(fù))

研究人員發(fā)現(xiàn) CloudPanel 通過 curl to bash 安裝過程沒有進(jìn)行完整性檢查，因此如果攻擊者劫持或替換安裝包，都可能發(fā)起供應(yīng)鏈攻擊。

接到通報(bào)后 CloudPanel 在線更新了腳本支持了加密安全校驗(yàn)解決問題。

問題 2：附帶弱防火墻規(guī)則替代默認(rèn)規(guī)則 (未修復(fù))

正常情況下系統(tǒng)自帶的防火墻規(guī)則屬于中等安全級(jí)別，用戶可以根據(jù)自己的需要修改防火墻規(guī)則加強(qiáng)安全性。

但 CloudPanel 在安裝過程中會(huì)將服務(wù)器防火墻規(guī)則替換為更弱雞的規(guī)則，例如原本管理員配置的防火墻規(guī)則是僅允許特定 IP/IP 端訪問服務(wù)器，安裝 CloudPanel 后這些規(guī)則會(huì)刪了，實(shí)際上就是弱化了安全性。

問題 3：超級(jí)管理員賬戶竟然是空的 (未修復(fù))

CloudPanel 安裝后超級(jí)管理員賬戶是空的，任何人都可以創(chuàng)建管理員賬戶。這是一個(gè)比較嚴(yán)重的問題，因?yàn)楦鞣N惡意爬蟲無時(shí)不刻不再檢索存在弱點(diǎn)的服務(wù)器，一旦被掃描到黑客就可以趕在用戶前創(chuàng)建管理員賬戶從而接管服務(wù)器。

目前 CloudPanel 更新了一份支持文檔要求用戶安裝成功后立即創(chuàng)建管理員賬戶，避免被機(jī)速更快的機(jī)器人率先創(chuàng)建了管理員。

問題 4：所有 CloudPanel 都是用相同的私鑰??????

研究人員還發(fā)現(xiàn) CloudPanel 使用靜態(tài) SSL 證書安裝，這導(dǎo)致所有安裝的面板私鑰都是相同的，攻擊者也可以通過 SSL 證書的指紋來找到安裝 CloudPanel 的服務(wù)器。

由于私鑰是相同的，因此攻擊者還可以發(fā)起 MiMT 中間人攻擊，劫持用戶與 CloudPanel 之間的流量，嗅探內(nèi)容包括解密用戶輸入的賬號(hào)和密碼。

目前還不知道 CloudPanel 為啥這么長時(shí)間了還沒解決問題，但如果你使用 CloudPanel 的話，最好提高警惕，包括檢查管理員賬戶設(shè)置、配置自己的 SSL 證書、檢查 ufw 防火墻規(guī)則。

• ·天生一隊(duì) 不賤不散！《死侍與金剛狼》x《漫威終極逆轉(zhuǎn)》限時(shí)聯(lián)動(dòng)開啟
• ·足機(jī)上好玩的足球游戲保舉 那幾款特好玩
• ·日式可駭游戲《誘拐事件》上線Steam頁里
• ·復(fù)古ARPG《Journey Record》steam頁里上線 2D3D交叉探險(xiǎn)
• ·虛幻4開放游戲《AQP之城》公布 海灘環(huán)境不錯(cuò)
• ·一小我闖閉的單機(jī)游戲保舉 英怯闖閉
• ·《劍俠天下3》安卓尾測支民 ，情緣江湖再散！
• ·11月份開適往那里旅游海內(nèi)
• ·《崩壞：星穹鐵道》2.4版本7月31日開啟新五星限定角色
• ·科技早報(bào) 榮耀將進(jìn)電視行業(yè)；任天堂Switch Lite正式發(fā)布
• ·《出法觸碰的掌心》限時(shí)免費(fèi)下載，與您共慶2周年
• ·2019晉陽湖菊花展延絕時(shí)候+活動(dòng)內(nèi)容
• ·《全面戰(zhàn)爭傳奇：不列顛王座》最新預(yù)告視頻公布
• ·歐陽娜娜化身“任務(wù)動(dòng)員民” 快去pick您出睹過的硬核苦妹！
• ·藥水哥與《三國殺十周年》夢境聯(lián)動(dòng)啦
• ·BANDAI出品!《銀河豪杰傳講》游戲PC版新做公布