Resumen
De forma predeterminada, Plesk Panel 12 permite ejecutar utilidades o scripts en nombre de root en dos casos:
- Programación de tareas con el administrador de cron
- Manejo de eventos con la herramienta Event Manager
Esto hace que el servidor del Panel sea potencialmente vulnerable a software malicioso.
La funcionalidad cron mejorada se incluyó en la versión Plesk 12.5. Si todavía está ejecutando 12, le recomendamos que actualice para aprovechar la nueva funcionalidad.
Instrucciones
Para eliminar estas vulnerabilidades, cree los siguientes archivos y déjelos vacíos:
$PRODUCT_ROOT_D/var/root.crontab.lock
evita que los usuarios ejecuten tareas cron y vean la lista de tareas programadas en nombre de root.
$PRODUCT_ROOT_D/var/root.event.handler.lock
evita que los usuarios creen controladores de eventos que funcionen en nombre de root.
El $PRODUCT_ROOT_D es /usr/local/psa para sistemas basados en RPM (RHEL/CentOS) o /opt/psa en sistemas basados en DEB (Debian/Ubuntu).