CVE-2024-51378 — 神龙十问 AI 深度分析摘要

🚨 **本质**：CyberPanel 存在**命令注入**漏洞。 💥 **后果**：攻击者可绕过认证，在 `/ftp/getresetstatus` 等接口执行**任意系统命令**，直接接管服务器。

🔍 **缺陷点**：`dns/views.py` 中的 `getresetstatus` 函数。 🛑 **CWE**：未对 `statusfile` 参数进行严格校验，直接拼接到 Shell 命令中执行。

📦 **受影响产品**：CyberPanel（Usman Nasir 开发的虚拟主机面板）。 📌 **涉及组件**：内置的 DNS 和电子邮件服务器模块。

👑 **权限**：远程代码执行 (RCE)。 📂 **数据**：可获取服务器最高权限，窃取数据、部署后门或发起进一步攻击。

⚡ **门槛极低**： ❌ **无需认证**：远程攻击者无需登录。 🚫 **绕过中间件**：利用 OPTIONS 请求绕过安全中间件对 POST 请求的验证。

🧨 **有现成 Exp**： ✅ GitHub 上已有多个 PoC/Exploit 脚本（如 `refr4g`, `i0x29A`, `qnole000` 等仓库）。 🔎 支持 Nuclei 模板扫描，利用难度低。

🔍 **自查方法**： 1. 扫描 `/ftp/getresetstatus` 和 `/dns/getresetstatus` 接口。 2. 检查是否存在 CSRF Token 验证缺陷。 3. 使用提供的 Python 扫描器或 Nuclei 模板进行检测。

🛡️ **官方修复**： 📅 漏洞于 2024-10-29 公开。 ⚠️ 数据中未提供具体补丁版本，但建议立即检查 CyberPanel 更新日志并升级至安全版本。

🚧 **临时规避**： 1. **WAF 规则**：拦截包含特殊字符的 `statusfile` 参数。 2. **访问控制**：限制面板端口（如 8090）的公网访问。 3. **禁用接口**：若不需要，暂时禁用相关 DNS/FTP 功能模块。

🔥 **优先级：极高**。 ⚠️ **理由**：CVSS 评分极高（AV:N/AC:L/PR:N），无需认证即可 RCE，且已有大规模勒索软件攻击案例（如 PSAux），需**立即处置**。