寶塔面板再次驚現(xiàn)重大安全漏洞 所有用戶請(qǐng)暫時(shí)關(guān)閉面板
【時(shí)間】2020-12-29
【編輯】網(wǎng)絡(luò)
【瀏覽量】
【等級(jí)保護(hù)QQ交流群】881590869
早上就少看了一會(huì)loc。再去看發(fā)現(xiàn)就炸了。寶塔面板又出現(xiàn)了重大安全漏洞。官方已經(jīng)官宣漏洞存在。所有安裝過(guò)插件的用戶均可能受影響。目前Windows和Linux版均受影響。目前寶塔官方并未找到漏洞根源。
官方已經(jīng)給出最新臨時(shí)方案。可以暫時(shí)關(guān)閉面板。等官方查清楚原因后更新開(kāi)啟。關(guān)閉面板并不會(huì)影響網(wǎng)站業(yè)務(wù)。
目前已知還存在的漏洞有3個(gè)：
-
nginx1.8版本存在root提權(quán)問(wèn)題。nginx官方問(wèn)題。建議更新到1.19.如果程序不支持太新。那么請(qǐng)至少更新到1.9。
-
1.18版存在root提權(quán)問(wèn)題。建議更新到1.19。
-
plugin文件夾可能存在越權(quán)執(zhí)行問(wèn)題。
還有一個(gè)是小道消息。這個(gè)不如上面3個(gè)準(zhǔn)。那就是SSH插件有問(wèn)題。不管什么先卸載再說(shuō)。
如果你還覺(jué)得不安全。官方給的建議可以先暫時(shí)關(guān)閉面板。等待官網(wǎng)最新通知。所有問(wèn)題均以這個(gè)頁(yè)面官方通告為準(zhǔn)。
關(guān)閉寶塔面板方法：
停止面板：bt stop
啟動(dòng)面板：bt start
官方聲明：關(guān)于寶塔安全情報(bào)信息排查聲明
我們?cè)谌齻€(gè)月前聯(lián)合補(bǔ)天發(fā)布了百萬(wàn)懸賞漏洞征集專題
如有發(fā)現(xiàn)漏洞可以直接在此處提交（目前補(bǔ)天平臺(tái)沒(méi)有收到漏洞上報(bào)）
關(guān)于網(wǎng)絡(luò)流傳的此次面板安全漏洞提醒，如果您特別擔(dān)心，可以做以下常規(guī)的安全操作：
1、面板設(shè)置一些安全措施如更換端口限定IP訪問(wèn)
2、備份好數(shù)據(jù)庫(kù)及站點(diǎn)數(shù)據(jù)
3、面板以及Linux系統(tǒng)基本安全設(shè)置視頻
我們已全力進(jìn)行排查此次情報(bào)相關(guān)信息，所有結(jié)果會(huì)在寶塔論壇發(fā)帖公示。
我們的建議是當(dāng)下暫時(shí)什么都不用做，關(guān)注官方信息即可。
跟進(jìn)相關(guān)記錄
10:15分，我們已收到一些相關(guān)的情報(bào)信息，已安排同事跟進(jìn)排查
12:10分，我們負(fù)責(zé)安全的同事以及聯(lián)系了相關(guān)做安全的朋友，目前沒(méi)有收到一個(gè)具體的關(guān)于本次安全情況的相關(guān)資料，當(dāng)前還在跟進(jìn)中
14:01分，根據(jù)現(xiàn)有所有匯聚的線索，詳細(xì)排查后沒(méi)有找到具體的漏洞，補(bǔ)天百萬(wàn)懸賞漏洞活動(dòng)依然也沒(méi)人提交，抱著對(duì)用戶負(fù)責(zé)任的態(tài)度，我們依然還在持續(xù)跟進(jìn)這條情報(bào)，所有信息以我們論壇更新為主。
19:45分，根據(jù)現(xiàn)有所有匯聚線索，我們安全技術(shù)深入排查，沒(méi)有找到具體的漏洞，補(bǔ)天等漏洞平臺(tái)，依然沒(méi)人提交。我們繼續(xù)持續(xù)跟進(jìn)。
|
|
