یک آسیب‌پذیری امنیتی بسیار شدید از نوع PHP Object Injection در نرم‌افزار Softaculous Virtualizor شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، کدهای دلخواه خود را روی سرور هدف اجرا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در ماژول مدیریت صورت‌حساب (Billing Module Handler) قرار دارد. مهاجمان می‌توانند با ارسال درخواست‌های POST و تنظیم پارامتر act روی مقدار login در حالی که پارامتر from_billing_module نیز حضور دارد، داده‌های سریال‌سازی شده (Serialized Data) مخرب را از طریق فیلد billing_data ارسال کنند.
به دلیل عدم استفاده از محدودیت‌های allowed_classes در تابع unserialize()، مهاجم می‌تواند از زنجیره‌های POP Chain موجود در برنامه برای دستیابی به Remote Code Execution (RCE) استفاده کند. نکته حائز اهمیت این است که کدها در این حالت با دسترسی سطح Root اجرا می‌شوند که منجر به به خطر افتادن کامل محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) سیستم می‌گردد.
نسخه‌های آسیب‌پذیر و راهکار
- نسخه‌های پیش از 3.2.9 (Patch 9)
- نسخه‌های خط 3.0.0
با توجه به انتشار کد اکسپلویت (PoC) در فضای عمومی و پیچیدگی پایین حمله (Low Attack Complexity)، توصیه می‌شود مدیران سیستم‌ها در سریع‌ترین زمان ممکن تمامی نمونه‌های فعال Virtualizor را شناسایی کرده و به‌روزرسانی‌های رسمی سازنده (نسخه 3.2.9 Patch 9 و آپدیت‌های مربوط به سری 3.0.0) را اعمال نمایند.
