Pterodactyl Panel thiếu kiểm tra quyền cho scheduled task dẫn đến leo thang đặc quyền

Pterodactyl Panel trước phiên bản 1.14.1 không xác thực các quyền riêng cho từng hành động khi tạo tác vụ theo lịch, cho phép subuser chỉ có quyền schedule.update thực thi các lệnh console tùy ý. Kẻ tấn công có thể tạo và kích hoạt ngay các tác vụ theo lịch để chạy lệnh console của game server, điều khiển trạng thái nguồn của server hoặc tạo bản sao lưu mà không qua các kiểm tra ủy quyền phù hợp.

• Pterodactyl Panel: CNA xác định phạm vi semver >= 0, < 1.14.1 là bị ảnh hưởng.
• Pterodactyl Panel 1.14.1: được ghi nhận là unaffected.
• Trạng thái của các nhánh hoặc gói phát hành song song ngoài các ranh giới trên không được xác nhận riêng trong bằng chứng hiện có.

Pterodactyl Panel có lỗi Missing Authorization trong luồng tạo và thực thi scheduled task. Trong triển khai bị ảnh hưởng, StoreTaskRequest chỉ kiểm tra quyền schedule.update, trong khi dữ liệu do người dùng kiểm soát còn chỉ định action như command, power hoặc backup cùng payload tương ứng. Vì vậy, một subuser đã được xác thực và có quyền quản lý lịch có thể tạo task mà không có quyền riêng như control.console, quyền điều khiển nguồn hoặc backup.create. Khi task chạy, RunTaskJob chuyển lệnh console và thao tác nguồn tới daemon, hoặc gọi dịch vụ backup, mà không thực hiện lại kiểm tra quyền của actor. Bản vá bổ sung ánh xạ giữa action và quyền bắt buộc, kiểm tra quyền khi tạo hoặc cập nhật task, đồng thời kiểm tra các task trước khi thực thi lịch. Bề mặt truy cập được xác định là Client API của Panel; bằng chứng hiện có không xác định liệu lỗi này có dẫn tới quyền thực thi trên host Panel hoặc máy chủ ngoài phạm vi game server hay không.

• Có thể khai thác qua mạng thông qua các yêu cầu tới Client API của Pterodactyl Panel.
• Kẻ tấn công cần một tài khoản subuser đã xác thực, quyền truy cập server và ít nhất quyền schedule.update; không cần người dùng khác tương tác.
• Đường khai thác có độ phức tạp thấp theo dữ liệu định danh của bản ghi: tạo task với action không được cấp quyền rồi kích hoạt scheduled task đó.
• Public exploit documentation đã được công bố trong advisory của nhà nghiên cứu, nhưng bản ghi không xác nhận việc khai thác đối với một triển khai cụ thể.

• Lỗi cho phép leo thang đặc quyền giữa các subuser trên cùng một server, vượt qua quyền action mà chủ server đã cố ý không cấp.
• Kết quả kỹ thuật được xác nhận gồm thực thi lệnh console của game server, điều khiển trạng thái nguồn và tạo backup trái phép.
• Lệnh console có thể tác động tới dữ liệu và cấu hình trong phạm vi game server; quyền truy cập tới dữ liệu cụ thể phụ thuộc vào quyền của game server và payload được chấp nhận.
• Tác động tới host hệ điều hành, các server khác hoặc chính Panel không được bằng chứng hiện có xác lập, nên không nên mặc định rằng lỗi này là host level code execution.

• Vượt mô hình phân quyền: subuser được chủ server giới hạn ở việc quản lý lịch có thể thực hiện các thao tác vốn cần quyền riêng.
• Ảnh hưởng tính toàn vẹn: lệnh console tùy ý có thể thay đổi trạng thái hoặc dữ liệu mà game server quản lý.
• Ảnh hưởng tính khả dụng: thao tác power như dừng, khởi động lại hoặc kill server có thể làm gián đoạn dịch vụ.
• Ảnh hưởng dữ liệu và vận hành: việc tạo backup trái phép có thể tiêu thụ tài nguyên hoặc tạo ra các bản sao dữ liệu ngoài quy trình được phê duyệt.
• Phạm vi bằng chứng hiện có tập trung vào server được quản lý bởi Panel; chưa có căn cứ để kết luận về quyền kiểm soát host Panel hoặc các server khác.

1. Nâng cấp Pterodactyl Panel lên chính xác phiên bản 1.14.1, sau đó xác minh phiên bản thực tế đang chạy trên mọi node và instance quản trị.
2. Trước khi nâng cấp, tạm thời thu hồi schedule.update khỏi các subuser không cần quản lý lịch, hoặc hạn chế quyền truy cập của họ vào các server bị ảnh hưởng. Đây là biện pháp giảm rủi ro vận hành, không phải workaround được xác nhận là bản vá.
3. Rà soát và xóa hoặc vô hiệu hóa các scheduled task đáng ngờ có action command, power hoặc backup, đồng thời kiểm tra các task đã được thực thi trong thời gian phiên bản bị ảnh hưởng được triển khai.
4. Sau khi cập nhật, xác nhận việc kiểm tra quyền action cụ thể hoạt động cho cả tạo, cập nhật và kích hoạt schedule. Kiểm thử với tài khoản chỉ có schedule.update không được phép thực hiện các action khác nếu thiếu quyền tương ứng.
5. Nếu phát hiện task hoặc hoạt động trái phép, bảo toàn log Panel, daemon và game server để điều tra trước khi thay đổi trạng thái hoặc xóa dữ liệu liên quan.

1. Kiểm kê các bản cài đặt Pterodactyl Panel và đối chiếu phiên bản đang chạy với phạm vi bị ảnh hưởng trong affected_summary.
2. Liệt kê subuser có schedule.update nhưng không có các quyền tương ứng như control.console, control.start, control.stop, control.restart hoặc backup.create.
3. Rà soát các scheduled task có action là command, power hoặc backup, đặc biệt những task do subuser tạo, cập nhật hoặc kích hoạt.
4. Kiểm tra activity log và audit log sẵn có của Panel cho các sự kiện thực thi schedule, bao gồm sự kiện server:schedule.execute nếu hệ thống ghi nhận sự kiện này.
5. Đối chiếu log của daemon hoặc game server để tìm lệnh console, thay đổi trạng thái nguồn hoặc hoạt động backup không phù hợp với quyền được cấp. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
6. Không thấy log đáng ngờ không chứng minh hệ thống an toàn; cần kết hợp kiểm tra phiên bản, quyền và lịch sử task.