CVE-2024-49762

Pterodactyl, ücretsiz ve açık kaynaklı bir oyun sunucusu yönetim panelidir. Bir kullanıcı Paneli üzerinden iki faktörlü kimlik doğrulamayı devre dışı bıraktığında, mevcut şifrelerinin bir sorgu parametresi olarak yer aldığı bir `DELETE` isteği gönderilir. Sorgu parametreleri TLS kullanıldığında şifrelense de birçok web sunucusu (Pterodactyl ile kullanımı resmi olarak belgelenenler dahil), sorgu parametrelerini düz metin olarak günlüğe kaydeder ve böylece kullanıcının şifresini düz metin şeklinde saklar. Versiyon 1.11.8 öncesinde, kötü niyetli bir kullanıcı bu günlüklere erişim sağlarsa ve hesabın e-posta adresini veya kullanıcı adını ayrı olarak tespit edebilirse, potansiyel olarak kullanıcının hesabında kimlik doğrulaması yapabilir. Bu sorun versiyon 1.11.8'de giderilmiştir. Şu an için herhangi bir geçici çözüm bulunmamaktadır. Web sunucuları veya Katman 7 proxy'leri gibi ara bileşenler tarafından oluşturulan günlüklerle ilgili olduğu için yazılım içerisinde doğrudan bir güvenlik açığı yoktur. Bu sorundan kaçınmanın tek yolu `v1.11.8` sürümüne güncellemek veya bağlantılı yamayı manuel olarak eklemektir. Bu güvenlik açığı hassas verilerin geçmişteki günlük kayıtlarıyla ilgili olduğundan, bir Panel üzerinde (kendi barındırdıkları veya bir şirket tarafından işletilen) daha önce 2FA'yı devre dışı bırakmış olan kullanıcılar şifrelerini değiştirmeli ve eğer devre dışı kaldıysa 2FA'yı etkinleştirmeyi düşünmelidir. Hesaplarının bu güvenlik açığı nedeniyle ele geçirilmesi düşük bir ihtimal olsa da imkansız değildir. Panel yöneticileri, hassas veri içerebilecek tüm erişim günlüklerini temizlemeyi değerlendirmelidir.