Onderwerp: Remote exploit Plesk API

Oorspronkelijk geplaatst door Pantsy

Dat is een redelijk zware bevalling als ik het zo lees Mickey, zeker niet iets waar je op zit te wachten met honderden servers als je die wilt/moet migreren.

Zal dan maar wat sarcasm brengen: op naar cpanel =)

Het lijkt zwaarder dan het is, de meeste websites laten zich snel weer activeren door de database settings aan te passen. Je pakt in een hele korte tijd best veel websites over. Overigens zijn deze punten ook van toepassing op een migratie naar cpanel.

http://www.scmagazine.com.au/News/30...ked-sites.aspx
http://krebsonsecurity.com/2012/07/p...ed/#more-15887

Op dit moment gaan er zeer hardnekkige geruchten dat de "oude" fix niet voldoende is geweest, verwarrend is dat plesk refereerd naar dezelfde KB nummers als in Februari/Maart, maar vreemd genoeg de KB
's wel op 6 Juli weer een update heeft gegeven.

Bovenstaande posts zijn ongeveer een uur oud bij moment van schrijven, de exacte impact kan ik op het moment niet inschatten, het lijkt rustig op de servers, maar schijn kan bedriegen.

de betreffende exploit geeft aan 'windows only' te zijn.. Scheelt wellicht weer.

Uit persoonlijke ervaring betwijfel ik sterk of het windows only is.

Klopt als een bus, ik hoor uit meerdere (Plesk) bronnen dat er momenteel wederom Plesk accounts worden gehacked (java) en wellicht dat dit nog de overblijfselen zijn van het eerdere voorval.

De exploit die voor $8000 nu te koop wordt aangeboden, welke zou inhaken op de "nieuwe" vulnerability staat in de screenshot "Windows only". Echter bemerk ik zelf niet echt directe problemen op mijn servers.

Op de plesk fora (http://forum.parallels.com/showthread.php?t=260774) is een discussie gaande tussen plesk die aan de ene kant beweerd dat je toendertijd je session cache had moeten leeggooien (dit staat nu wel in de KB, de datum van de KB's is ook ineens een stuk recenter). Ik kan me niet herinneren dat er iets over sessions stond in de tijd dat dit speelde. En aan de andere kant een waslijst gebruikers die nu vertellen dat ze opnieuw vreemde code tegenkomen op de servers (zie link voor meer info).

Echt een vinger er op leggen lukt me op dit moment dus ook niet, ik poog nu zoveel mogelijk info te vergaren.

Windows only zegt me bij plesk helemaal niets meer. De vorige keer is dat namelijk ook gebleken.

er stond destijds definitely niets over het deleten van de sessions...
Wij hadden destijds problemen op plesk 9.5 servers (die waren gepatched tot de laatste microupdate, maar werden toch gehacked middels cronjobs. parallels moet nog steeds inloggen om dit te onderzoeken.. 'yes your ticket is very important to us...').
Sindsdien zitten de 8443 en andere 'management' poorten in de firewall. Het is dat overstappen nogal een exercitie gaat worden met veel servers en we qua mogelijkheden (api o.a.) nog geen gelijkwaardig panel hebben gevonden (/onderzocht), maar het vertrouwen in Parallels zit op een dieptepuntje...

@davinci: De overgang van Plesk naar cPanel verloopt redelijk zonder problemen en kan via de standaard scripts binnen WHM. Wellicht interessant om dit beter uit te zoeken via een test licentie?

Ik heb alleen als 'regular user' ervaring met cpanel en dat is vrij positief moet ik zeggen!
We hebben (helaas) een berg aan custom koppelingen via een eigen panel naar de api van plesk. (denk aan emailboxen, out of office, aanmaken van pakketten, domeinen, databases etc...) en dat is nog niet 123 omgescript

Plesk geeft nu officieel aan dat ze het ook niet weten:

http://kb.parallels.com/en/114330 en http://forum.parallels.com/showthrea...=260774&page=5

Ik wens iedereen met Plesk veel succes toe.

Leuk hoe Plesk op het einde van 114330 nog even IIS erbij halen en daarvoor tips geven voor Linux systemen.

Kennelijk zit Parallels ook mijn z'n handen in het haar. De enige veilige oplossing is upgraden naar Plesk 11 die volgens hun veilig is.
zie ook: http://webwereld.nl/analyse/111145/h...t-naijlen.html

De boosdoener lijkt de filemanager te zijn.

Eindelijk een beetje inzichtelijk waar we nu dus daadwerkelijk over praten, plesk heeft zojuist een nieuwe KB patch released, effectief doet hij dit:


www1:~/plesk# /usr/local/psa/admin/bin/php plesk_remote_vulnerability_fix_deployer.php
The file "/usr/local/psa/admin/plib/api-rpc/Agent.php" has not been found. The patch is not applicable.
Copying "9.2.3/help.php" to "/usr/local/psa/admin/htdocs/help.php"
Copying "9.2.3/common_func.php3" to "/usr/local/psa/admin/plib/common_func.php3"
Copying "9.2.3/AgentSubDomain.php" to "/usr/local/psa/admin/plib/api-rpc/AgentSubDomain.php"
Restarting Plesk
The patch has been successfully applied.
www1:~/plesk#

En ja dit is een oude plesk server!

Linkjes:

http://kb.parallels.com/en/113321
http://kb.parallels.com/en/114378