Aperçu
Par défaut, Plesk Panel 12 autorise l'exécution d'utilitaires ou de scripts au nom de root dans deux cas :
- Planifier des tâches avec le gestionnaire cron
- Gestion des événements avec l'outil Event Manager
Cela rend le serveur du Panel potentiellement vulnérable aux logiciels malveillants.
La fonctionnalité cron mise à niveau a été incluse dans la version Plesk 12.5. Si vous utilisez toujours la version 12, nous vous recommandons fortement de mettre à niveau pour profiter de la nouvelle fonctionnalité.
Instructions
Pour éliminer ces vulnérabilités, créez les fichiers suivants et laissez-les vides :
$PRODUCT_ROOT_D/var/root.crontab.lock
empêche les utilisateurs d'exécuter des tâches cron et d'afficher la liste des tâches planifiées pour le compte de root.
$PRODUCT_ROOT_D/var/root.event.handler.lock
empêche les utilisateurs de créer des gestionnaires d'événements fonctionnant au nom de root.
Le $PRODUCT_ROOT_D est /usr/local/psa pour les systèmes basés sur RPM (RHEL / CentOS) ou /opt/psa sur les systèmes basés sur DEB (Debian / Ubuntu).