CVE-2026-100713

Froxlor 2.3.10 və daha erkən versiyaları SSH açarlarının sinxronizasiya cron-unda (lib/Froxlor/Cron/System/SshKeys.php, SshKeys::generateFiles) yoxlama vaxtı ilə istifadə vaxtı arasındakı fərqdən qaynaqlanan (TOCTOU) yarış şərtini (race condition) ehtiva edir. FileDir::makeCorrectDir()/makeCorrectFile() tərəfindən həyata keçirilən məhdudlaşdırma/simvolik link validasiyası yalnız yoxlama zamanı yerinə yetirilir; canlı fayl sistemi yolu yazı zamanı (FILE_APPEND|LOCK_EX ilə file_put_contents, ardınca chmod/chown/chgrp) root olaraq yenidən təyin edilir. Bu proses arasında verilənlər bazasına müraciət və faylların oxunması baş verir, lakin yol və ya fayl deskriptorunun sabitlənməsi (O_NOFOLLOW və ya openat2(RESOLVE_NO_SYMLINKS)) mövcud deyil. Standart olmayan system.allow_customer_shell=1 parametrinin müştərilərə lokal shell girişinə icazə verdiyi quraşdırmalarda, müştəri yoxlamadan sonra və yazma əməliyyatından əvvəl öz ~/.ssh kataloqunu atomik şəkildə simvolik linklə əvəz edə bilər. Bu, root tərəfindən işlədilən cron-un müştərinin açıq açarını /root/.ssh/authorized_keys faylına əlavə etməsinə və /root/.ssh kataloqunun sahibliyini (chown) müştəriyə verməsinə səbəb olur ki, bu da panel hostunun tam root səviyyəsində kompromisə uğraması ilə nəticələnir. Cron hər intervalda yenidən işə düşdüyü üçün limitsiz cəhdlərə imkan verir. Bu, GHSA-mq5v-... üçün tətbiq edilmiş yoxlama vaxtı düzəlişini yan keçən qalıq bir yarışdır. Problem Froxlor 2.3.12 versiyasında aradan qaldırılıb.