Pterodactyl - это бесплатная панель управления игровыми серверами с открытым исходным кодом. Когда пользователь отключает двухфакторную аут…

Pterodactyl - это бесплатная панель управления игровыми серверами с открытым исходным кодом. Когда пользователь отключает двухфакторную аутентификацию через панель, отправляется запрос `DELETE` с его текущим паролем в параметре запроса. Хотя параметры запроса шифруются при использовании TLS, многие веб-серверы (включая те, которые официально задокументированы для использования с Pterodactyl) регистрируют параметры запроса в виде обычного текста, сохраняя пароль пользователя в виде обычного текста. До версии 1.11.8, если злоумышленник получит доступ к этим журналам, он может потенциально аутентифицироваться в учетной записи пользователя, предполагая, что он сможет обнаружить адрес электронной почты или имя пользователя учетной записи отдельно. Эта проблема была исправлена в версии 1.11.8. В настоящее время обходных путей нет. Не существует прямой уязвимости в программном обеспечении, поскольку она относится к журналам, генерируемым промежуточными компонентами, такими как веб-серверы или прокси уровня 7. Обновление до `v1.11.8` или добавление связанного патча вручную - единственный способ избежать этой проблемы. Поскольку эта уязвимость связана с историческим ведением журнала конфиденциальных данных, пользователям, которые когда-либо отключали 2FA на панели (размещенной самостоятельно или управляемой компанией), следует изменить свои пароли и рассмотреть возможность включения 2FA, если она была оставлена отключенной. Хотя маловероятно, что их учетная запись будет скомпрометирована этой уязвимостью, это не невозможно. Администраторам панели следует рассмотреть возможность очистки любых журналов доступа, которые могут содержать конфиденциальные данные.