CVE-2018-25117 in Control Panel
摘要
由 VulDB • 2026-07-09
VestaCP 从提交版本 a3f0fa1（2018-05-31）到 ee03eff（2018-06-13）的版本中包含嵌入的恶意代码，导致供应链遭到破坏。自至少 2018 年 5 月以来使用被篡改的安装程序创建的新安装实例均受到 Linux/ChachaDDoS 的影响，这是一种多阶段 DDoS 僵尸网络，其第二和第三阶段组件使用 Lua 编写。在安装过程中，该漏洞将管理员凭据（base64 编码的管理员密码和服务器域名）泄露至外部 URL，或者导致安装程序以本地系统权限下载并执行 DDoS 恶意软件载荷。随后观察到被入侵的服务器参与了大规模 DDoS 活动。VestaCP 于 2018 年 10 月确认了野外利用情况。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.