ハッカーが、人気のウェブホスティング管理ソフトウェア パッケージである Parallels Plesk Panel の旧バージョンを狙ったゼロデイ エクスプロイトを公開した。この脆弱性により、攻撃者は任意の PHP コードを挿入し、ウェブ サーバー上で不正なコマンドを実行できる可能性がある。
このハッカーは「Kingcope」という偽名を使い、未修正の脆弱性を突くエクスプロイトコードをこれまでにも公開してきた。彼は水曜日に、Full Disclosureメーリングリストで新たなPleskエクスプロイトコードを公開した。
ハッカーは、このエクスプロイトがPlesk 9.5.4、Plesk 9.3、Plesk 9.2、Plesk 9.0、Plesk 8.6でテストされ、Red Hat、CentOS、Fedoraを含む32ビットおよび64ビットLinuxディストリビューション上のApacheウェブサーバーソフトウェアと組み合わせて使用されたことで成功したと主張している。しかし、Plesk Panelを開発するシアトルに拠点を置くParallels社は、Plesk 9.5以降のバージョンはこのエクスプロイトの影響を受けないと主張している。
「この脆弱性は、以前から知られているCVE-2012-1823の脆弱性の亜種であり、古いPlesk[バージョン]におけるPHPのCGIモードにのみ関連しています」と、Parallelsの担当者は木曜日にメールで述べた。「現在サポートされているParallels Plesk Panel 9.5、10.x、11.x、およびParallels Plesk Automationの全バージョンには、この脆弱性は存在しません。」
同社のウェブサイトによると、同製品のバージョン 8 は 2012 年 9 月以降サポートされておらず、Plesk バージョン 9 は日曜日にサポートが終了する予定である。
古いサーバーのトラブル
シスコの脅威研究者クレイグ・ウィリアムズ氏は水曜日のブログ投稿で、たとえ最新バージョンのソフトウェアが影響を受けないとしても、影響を受ける古いバージョンのPleskを実行しているサーバーは定期的にメンテナンスされる可能性が低いため、この脆弱性が広範囲に悪用される可能性は依然として高いと述べた。
ウィリアムズ氏はキングコープが公開した攻撃コードを分析し、「このスクリプトは、悪意のあるPHPコードを挿入することでPleskコントロールパネルの脆弱なバージョンを悪用し、攻撃者がApacheサーバーのユーザーIDの権限で任意のコマンドを実行できるようにする」と述べた。
このエクスプロイトによって実行されるコマンドには、サーバー上に存在する可能性のあるセキュリティメカニズムを無効にするための複数の引数が含まれていると彼は述べた。これには、攻撃者が任意のPHPコードを含めることを可能にする「allow_url_include=on」引数と、「safe_mode=off」引数が含まれる。「最終ステップとして、PHP強化パッチであるSuhosinがシミュレーションモードに設定されます。このモードはアプリケーションのテスト用に設計されており、実質的に追加の保護機能を無効にします。」
Parallelsの担当者は、サポートが終了した旧バージョンのParallels Plesk Panelをご利用の場合は、最新バージョンにアップグレードする必要があると述べました。同社は既に、旧バージョンのPleskに対するCVE-2012-1823脆弱性の回避策を提供していると担当者は述べています。
「Pleskの脆弱なバージョンを無効にしたり、影響を受けない新しいコードにアップグレードしたりできない場合は、Apacheインスタンスをchroot環境内で実行したり、IP ACL（アクセス制御リスト）やHTTP認証などを使用してPleskコントロールパネルへのアクセスを制限するなど、PHP以外の追加強化を検討する必要があります」とウィリアムズ氏は述べた。
「悪用を成功させるには、Apacheのmod_aliasを用いたphpパスのScriptAlias（設定）が必要です」と、脆弱性管理会社Secuniaは木曜日に発表したアドバイザリで述べ、この脆弱性を非常に深刻度の高いものと評価しました。Kingcopeのエクスプロイトノートによると、具体的な設定はscriptAlias /phppath/ “/usr/bin/“です。
しかし、この構成が実際のPlesk環境でどれほど一般的に使用されているかは不明です。Kingcope氏のメールへの返信をFull Disclosureメーリングリストに投稿した2人のユーザーは、試したPlesk環境でphppath関連の設定が見つからなかったため、このエクスプロイトを動作させることができなかったと述べています。
