关于我们

质量为本、客户为根、勇于拼搏、务实创新

< 返回新闻公共列表

【漏洞预警】宝塔面板数据库管理未授权访问漏洞

发布时间:2020-08-23 18:53:31

2020年8月23日,傲闪云应急响应中心监测到宝塔官方发布安全更新,修复了一处未授权访问漏洞。


漏洞描述

宝塔面板是一款使用方便、功能强大且终身免费的服务器管理软件,支持Linux与Windows系统。近日宝塔面馆官方发布安全更新,修复了一处高危漏洞。攻击者通过访问特定路径,可以直接访问到phpmyadmin数据库管理界面,并可借此获取服务器系统权限。傲闪云应急响应中心提醒宝塔面板用户尽快采取安全措施阻止漏洞攻击。


宝塔面板PMA安全风险事件经过

起因:

为解决用户服务器被通过phpmyadmin提权导致的安全问题,
宝塔在Linux面板7.4.2/Windows面板6.8.0 版本中加入了phpmyadmin安全访问模块,
原理是通过面板进行访问phpmyadmin,而不是nginx/apache,
但因在目录存放时存在一个致命逻辑漏洞,导致nginx/apache也可以访问到专门给面板使用的phpmyadmin目录,
我们在做安全审计时将重心放在面板程序中,忽略了除面板外被访问的可能,从而导致了此事件的发生.

受影响的机器:
同时满足以下所有条件
1、软件版本为Linux面板7.4.2 或者Windows面板6.8.0
2、开放888且未配置http认证,
3、安装了phpmyadmin,mysql数据库

不受影响的机器:
需满足一条则不受影响
1、未开放888端口,
2、针对888端口做了严格的安全认证,
3、未安装phpmyadmin,
4、未安装mysql数据库
5、面板版本不为Linux面板7.4.2/Windows面板6.8.0

安全更新时间及内容:
时间:2020-8-23 16:50左右
1、移除phpmyadmin安全模块
2、删除phpmyadmin遗留文件
3、移除fastcgi客户端模块中的目录解释功能

当前最新的安全版本为:

Linux面板7.4.3 / Windows面板6.9.0


解决方法:

Linux版本7.4.2版本和测试版本7.5.14的用户更新到以下版本
宝塔linux 测试版本7.5.15 (安全版本)
宝塔linux 正式版 7.4.3 (安全版本)

此次更新为紧急安全更新,请7.4.2的用户务必更新到最新版


Windows版本6.8版本的用户更新到以下版本

Windows 正式版6.9.0 (安全版本)


注意:若数据库被恶意删除,在升级面板后,若您不了解数据库恢复机制,请不要做其它操作
建议直接关机,然后找专业人士协助恢复数据,错误的操作方法,可能降低后期数据恢复概率,如需寻求数据恢复协助,请联系宝塔客服 (如在傲闪云有快照服务可通过快照恢复到指定时间)


破坏计算机判刑极严,切勿以身试法
本次安全风险宝塔已经在当地公安局报备,请勿在网上传授他人使用方法以及使用这些工具破坏他人服务器,
传授及操作都已经触犯刑法,
网络非法外之地,国家对于破坏计算机信息系统罪是严打的,判刑都是都比较重的,千万不要以身试法。
也有部分用户受此安全风险影响,我们会全力配合用户固定证据,配合公安机关进行下一步侦查。
有受影响的用户,或者怀疑自己受影响的用户可以直接联系宝塔。

有数据影响的自身没备份的可以联系宝塔尝试通过面板二进制日志恢复。

被影响用户如在傲闪云有快照服务可通过快照恢复到指定时间再进行升级。



/template/Home/Asy/PC/Static