Критическая уязвимость в панели VestaCP

Вроде есть патч https://forum.vestacp.com/viewtopic.php?f=10&t=16556&start=260#p68893

И меняйте порт весты на другой, во избежании

/usr/local/vesta/nginx/conf/nginx.conf

Найдите



# Vhost

    server {

        listen          8083;

        server_name     _;

        root            /usr/local/vesta/web;

        charset         utf-8;

Измените на нужный строчку 8083

и выполните перезагрузку панели



service vesta restart

Как будто в isp багов и уязвимостей нету. Все равно пока веста самая адекватная из всех панелей.

P.S. у кого серверы в DO и у саппорта к вам возникли вопросы изза этой вирусной активности - отписываетесь им что знаете о проблеме, что весту выключили, вирусы почистили, дав им ссылку на форум весты и все вопросы снимаются.

Пришло уведомление с багфиксом:

Message sent to you follows:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~

[2018-04-09] New security fix release 0.9.8-20 avaliable now

Please, update all your servers

More information you can find here

https://forum.vestacp.com/viewtopic.php?f=25&p=68895#p68895

and here

https://forum.vestacp.com/viewtopic.php?f=10&t=16556&start=260#p68893

хз, на весте еще и такое трут:

ну так как?

пофиксили?

можно новую версию ставить или веста все?

ставить-то можно, но пока нет информации о том, как именно происходила загрузка трояна в ОС и как именно происходила эскалация привилегий.

В Весте, оказывается, по-умолчанию выключен лог http-доступа к самой панели. Соответственно, действия злодейского робота никаким образом не зафиксированы и о причинах взлома можно только гадать.

Будет правильно, если авторы Весты выпустят соответствующий подробный документ, а не патч без особых комментариев. Доверие и так несколько подорвано, плюс тот же DigitalOcean и другие операторы (судя по сообщениям) останавливал виртуалки с вестой без особого разбора - это добавило истерик, хотя можно было просто прикрыть доступ к командным центрам и пользователи могли бы почистить свои системы спокойно. Поэтому, говоря об авторах Весты - нужна открытость и технические подробности, иначе в случае рецидива будет все очень неприятно.

ddeineka, Всё очень просто, отрезаем на свитче всякие ираны, ираки и прочие азии и всё 90% C&C недоступны.

Кому нужна Азия учитывая специфичность и дикую дороговизну трафика в состоянии сам нанять/держать в штате админа для удаления вируса, трафик с Ирана и тп стран ненужен от слова никому вообще:)

ddeineka, ну как говориться побуду первоиспытателем

хорошо что у меня на этом хосте только визитка валялась

а так бы пипец был

---------- Добавлено 09.04.2018 в 22:53 ----------

блин это теперь чего в сапорт DigitalOcean писать чтобы каплю разблокировали после ребилда?

Взломали так 2 сервера у OVH. Они сразу вырубают серверы и плевать им, что бекапы достать не можешь и т.д. Потом переписывайся неделю с ними. В общем первый был взломан логично.

А второй, там все доступы были закрыты c левых ip (к панели, ftp, ssh и т.д) + все сервисы были перенесены на нестандартные порты. И точно такая же учесть постигла его.

Как это было сделано? Я не понимаю.