CVE-2026-100708 in Froxlor
要約
〜によって VulDB • 2026年09月26日
Froxlor 2.3.13 より前のバージョンでは、生の PEM TLS 秘密鍵のコンテンツを格納する ssl_key_file カラムが、Certificates.get および Certificates.listing API コマンドの JSON レスポンスにそのまま返されます。これは、基盤となる domain_ssl_settings クエリの結果が ApiCommand::response() を介して渡される際に、フィールドの除去やホワイトリスト処理が行われないためです。低権限の認証済み顧客用 API 呼び出し元は、Froxlor がサーバーサイドで生成しルート専用 (0600) で保存しており、顧客が通常ファイルシステムにアクセスできない Let's Encrypt の鍵を含む、自身のドメインの証明書に対する秘密鍵を取得できます。reseller および customers_see_all admin アカウントを使用すると、同じ出力先を通じて他のプリンシパルの秘密鍵をダンプすることができます。公開された鍵により、ドメインのなりすまし、キャプチャした TLS トラフィックのパッシブ復号化、およびアクティブなミドルボックス攻撃が可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.