Vulnerabilidad en ZPanel (CVE-2013-10052)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-269
Gestión de privilegios incorrecta
Fecha de publicación:
04/08/2025
Última modificación:
05/08/2025
Descripción
ZPanel incluye un binario auxiliar llamado zsudo, diseñado para permitir la escalada de privilegios restringida para tareas administrativas. Sin embargo, si se configura incorrectamente en /etc/sudoers, zsudo puede ser invocado por usuarios con pocos privilegios para ejecutar comandos arbitrarios como root. Esta falla permite a atacantes locales con acceso a la shell escalar privilegios escribiendo un payload en un directorio con permisos de escritura y ejecutándola mediante zsudo. La vulnerabilidad es especialmente grave en escenarios posteriores a la explotación tras la vulneración de un servidor web, donde el atacante hereda el acceso a zsudo.
Impacto
Puntuación base 4.0
8.50
Gravedad 4.0
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/zpanel/zpanelx
- https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/local/zpanel_zsudo.rb
- https://www.exploit-db.com/exploits/26451
- https://www.vulncheck.com/advisories/zpanel-zsudo-local-priv-esc
- https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/local/zpanel_zsudo.rb
- https://www.exploit-db.com/exploits/26451