【漏洞风险通告】Centos Web Panel未授权远程代码执行漏洞（CVE-2022-44877）

Control Web Panel（CWP）是一个人工智能驱动的免费和专业的Linux服务器控制面板，常用于管理专用服务器和VPS等。该软件v0.9.8.1147以及以前的版本，该漏洞允许未经身份验证的攻击者实现远程命令执行，获取服务器权限。

近日，迪普科技监测到Control Web Panel远程命令执行漏洞利用方式已在网上公开，漏洞编号为CVE-2022-44877。该漏洞评分较高，达到超危等级，漏洞危害较大。目前官方已发布最新版本，迪普科技建议相关用户及时进行修补更新，做好相关防护措施。

Control Web Panel 7由于/login/index.php组件中存在缺陷，对特殊元素转义处理不恰当，未经身份验证的恶意攻击者可以通过构造特殊的HTTP请求，成功利用此漏洞可在目标服务器上执行任意代码，获取目标服务器的控制权限。

Control Web Panel 7 < v0.9.8.1147

1、搭建受影响版本环境

2、使用burpsuite抓包并构造http请求：

3、打开后台，可发现远程命令执行成功。

1 官方解决方案

目前Control Web Panel 7 官方已修复该漏洞，受影响用户请根据自身情况尽快更新至对应的安全版本。

https://control-webpanel.com/installation-instructions

1 迪普科技解决方案

迪普科技安全研究院在监测到Centos Web Panel 未授权远程代码执行漏洞后，迅速采取了应急措施。

1）使用迪普“态势感知平台”检测现网环境中是否存在Centos Web Panel未授权远程代码执行漏洞攻击行为。

◆ 态势感知特征库版本：2023010202

2）迪普科技安全服务团队可协助客户完成现网安全风险评估，针对网络安全入侵事件，提供快速应急响应支撑服务以及专业的安全建设建议。

3）DPtech IPS2000、FW1000 将在以下特征库版本中对Centos Web Panel 未授权远程代码执行漏洞进行有效防护。

◆ 产品系列：IPS2000，FW1000

◆ 漏洞库版本：IPS-R3.1.286

4）DPtech WAF3000 已支持对Centos Web Panel未授权远程代码执行漏洞进行有效防护。

◆ 产品系列：WAF3000

◆ 特征库版本：请更新至当前最新版本