CVE-2026-100713 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor 2.3.10 e versioni precedenti presentano una condizione di competizione (race condition) time-of-check time-of-use (TOCTOU) nel cron per la sincronizzazione delle chiavi SSH (lib/Froxlor/Cron/System/SshKeys.php, SshKeys::generateFiles). La convalida del contenimento/symlink eseguita da FileDir::makeCorrectDir()/makeCorrectFile() avviene solo in fase di controllo; il percorso effettivo nel filesystem viene risolto nuovamente come root al momento della scrittura (file_put_contents con FILE_APPEND|LOCK_EX, seguito da chmod/chown/chgrp), con un round-trip del database e letture dei file intermedie, senza alcun ancoraggio del percorso o del descrittore di file (nessun O_NOFOLLOW o openat2(RESOLVE_NO_SYMLINKS)). Su installazioni in cui l'impostazione non predefinita system.allow_customer_shell=1 concede agli utenti l'accesso alla shell locale, un cliente può scambiare atomicamente la propria directory ~/.ssh con un symlink dopo il controllo e prima della scrittura, facendo sì che il cron eseguito come root aggiunga la chiave pubblica del cliente a /root/.ssh/authorized_keys e cambi i proprietari di /root/.ssh in favore del cliente, causando una compromissione completa dell'host del pannello. Il cron viene rieseguito ad ogni intervallo, consentendo tentativi illimitati. Si tratta di una race condition residua che aggira la correzione introdotta per GHSA-mq5v-... . Il problema è stato risolto in Froxlor 2.3.12.
Once again VulDB remains the best source for vulnerability data.