Onderwerp: Remote exploit Plesk API

Zou Parallels inderdaad sieren als ze gewoon openlijk hun fout toegeven, en beterschap beloven, het is een fuckup, maar denk dat de meeste providers daar wel mee kunnen leven. We zijn tenslotte allemaal mensen, maar met deze houding schieten ze geen reet mee op.

Vandaag iemand van Parallels langs gehad op kantoor en nog voor wij er zelf over konden beginnen gaf hij uit zichzelf aan dat er een vulnerability bestond binnen Plesk. Ik snap de frustratie maar ze zijn zich wel degelijk bewust van het probleem.

En als de fix het niet op lost dan kun je toch gewoon contact opnemen met Parallels?

Oorspronkelijk geplaatst door getUP

Vandaag iemand van Parallels langs gehad op kantoor en nog voor wij er zelf over konden beginnen gaf hij uit zichzelf aan dat er een vulnerability bestond binnen Plesk. Ik snap de frustratie maar ze zijn zich wel degelijk bewust van het probleem.

En als de fix het niet op lost dan kun je toch gewoon contact opnemen met Parallels?

En wat gaan die dan doen?
Nieuw stukje zeep aanreiken om hun handen in onschuld te wassen.......

Het zou ze in ieder geval sieren als ze zorgen dat er iets komt waar mee iedereen netjes van iedere fix en patch op de hoogte wordt gebracht, niet maanden later pas. Mag je toch wel verwachten voor software waar je per maand redelijk wat voor neer legt Virtuozzo + Plesk).

Oorspronkelijk geplaatst door Mikey

Naar aanleiding van mijn post heb ik inmiddels meerdere plesk servers gezien. Wat er gaande is, is duidelijk een spinup naar iets veel groters. Scott had het over fase 1 en 2. Ik denk dat er een derde fase bijhoort. Voor de buitenwereld en beheerder is er op dit moment dus niets aan de hand. Websites werken en er wordt _nog_ niets abused. Je kan deze indexatie meer zien als een grote pot met honing, die indien nodig dus gechecked, opgezet en uitgebuit kan worden. De cookie check met alive zit er niet voor niets in. Ook zit er een bewuste tijd keus tussen de agent check / abuse en aanpassen van de websites. In sommige gevallen valt dit kort met de log rotatie. Veel systemen roteren waarbij je met 4 weken de logfiles kwijt bent.

@Daan zijn er klanten die gebruik maken van de api ? Zoja controlleer in ieder geval de ip adressen. Zo niet, dan zou je aan de hand van de response size misschien een indicatie kunnen vormen of er wel of niet misbruik is gemaakt. Ook zou je niet verbaasd moeten zijn dat de users & pws buitgemaakt zijn, maar op dit moment dus nog niet misbruikt. Door de gebrekkige communicatie vanuit plesk weet dus helemaal niemand waar iedereen aan toe is.

Het misbruik is mij duidelijk er staan op mijn server bij leaseweb 1 miljoen mails klaar om verzonden te worden.....
alleen hoe haal je die weg ? met 25 stuks tegelijk uit de lijst halen schiet niet erg op. Allemaal mails over fedex verzendingen.

ik kwam deze domeinen tegen

hewsybo.ru
esparve.ru
labasni.ru

er waren bovendien losse html pagina's aan een WP site toegevoegd medio februari.

Peter, ben je zeker dat dit via deze Exploit gekomen is, dus buitgemaakte SMTP users? Kan natuurlijk ook gewoon een WP hack zijn

Die FedEx e-mails zijn recentelijk ook op één van onze servers aangetroffen. De FTP inloggegevens van één gebruiker waren buit gemaakt via een trojan op de thuiscomputer van de cliënt en niet via het veiligheidsgat in Plesk (wij hebben geen eens servers met Plesk). Ga dus - hoe voor de hand liggend ook - niet bij iedere hack er direct van uit dat deze via het Plesk veiligheidsgat is veroorzaakt.

Oorspronkelijk geplaatst door P3TER-

Het misbruik is mij duidelijk er staan op mijn server bij leaseweb 1 miljoen mails klaar om verzonden te worden.....
alleen hoe haal je die weg ? met 25 stuks tegelijk uit de lijst halen schiet niet erg op. Allemaal mails over fedex verzendingen.

Google even op qmHandle en download dat script, het wijst zichzelf redelijk. (mits je qmail draait, werkt obv niet voor postfix)

qmail-remove is ook wel een goeie. Kan je de queue vrij eenvoudig mee filteren op bepaalde inhoud van de mails en verplaatsen naar een soortvan quarantine map.

Hier zijn de eerste plesk servers al compleet overgezet naar directadmin

plesk -> DA

Code:

******* Start export for domain *******.be with new username ******* at Tue Apr 3 12:10:31 2012 Version: NON-DISCL *******

Directadmin username: *******
Directadmin password: *******

******* Copying subdomains at Tue Apr 3 12:10:48 2012 *******


******* Setting up e-mail settings at Tue Apr 3 12:10:48 2012 *******

account: *******@*******.be
 username: *******@*******.be
 password: *******

alias: *******.*******@*******.be => *******@*******.be

alias: *******@*******.be => *******@*******.be

alias: *******@*******.be => *******@*******.be

alias: *******@*******.be => *******@*******.be

******* Copying dns settings at Tue Apr 3 12:11:04 2012 *******

******* Copying domain pointers Tue Apr 3 12:11:04 2012 *******


no domain pointers found

******* Copying databases Tue Apr 3 12:11:04 2012 *******

db: ******* renamed to *******_kiqGr
 old username & password: *******@*******
 new username & password:: *******_kiqGr@*******

******* Setting up config file settings at Tue Apr 3 12:11:06 2012 *******

created file domain.usage
created file ftp.conf
created file ftp.passwd
created file apache_owned_files.list
created file empty crontab.conf
! local e-mail delivery enabled.

created file domain.conf
created file user.conf
created file .shadow
created file ticket.conf
created file user.usage

******* End export for domain *******.be with new username ******* at Tue Apr 3 12:11:22 2012 Version: NON-DISCL *******

Zelf gebrouwen script of is dat ergens verkrijgbaar?

@Mikey
Was ook wel benieuwd naar dit script, is er info over beschikbaar?

Ik vraag me af hoeveel bedrijven er hierdoor zijn overgestapt van Plesk naar een ander controle paneel vanwege dit veiligheidslek (en de manier waarop Plesk hiermee omging).

Oorspronkelijk geplaatst door drex

@Mikey
Was ook wel benieuwd naar dit script, is er info over beschikbaar?

Yes, niet voor de verkoop. Enkel als wij de complete migratie uitvoeren. Dus wel te huur in combinatie met mij samen