CVE-2025-54424：1Panel远程代码执行漏洞风险升级！成功复现证明危害，立即检测加固！(脚本文末获取)

0x00 漏洞速览

漏洞名称：1Panel Agent TLS证书验证绕过漏洞（CVE-2025-54424）
威胁等级：高危（远程代码执行）
影响版本：1Panel ≤ v2.0.5
风险场景：攻击者可伪造证书绕过认证，通过WebSocket接口完全控制服务器。

0x01 漏洞背景

1Panel作为国内明星级开源服务器运维面板（GitHub 20k+ Stars），其v2.0版本推出的分布式节点管理架构（Core端控制多Agent端）因高效便捷广受中小企业欢迎。然而，正是这一架构的核心通信模块埋下重大安全隐患。

0x02 漏洞深度剖析

致命缺陷：形同虚设的证书验证

当Agent端（默认端口9999）与Core端通过HTTPS通信时，存在两重致命缺陷：

• 验证模式错误
  采用 tls.RequireAnyClientCert（仅要求客户端提供证书，不验证CA合法性），而非安全的 tls.RequireAndVerifyClientCert；
• 校验逻辑失效
  仅检查证书CN字段是否为 "panel_client"，对证书颁发者、有效期等关键信息完全无视。

攻击路径

高危接口示例

• 进程管理
• SSH终端控制
• 容器生命周期管理
• 文件系统操作

后果：通过上述接口可触发root级命令执行（如反弹Shell、植入挖矿程序等）。

0x03 漏洞复现证据

已成功复现攻击链：

hunter和fofa测绘语句如下

cert.subject_org==”FIT2CLOUD”&&ip.port=”9999” || cert.subject.suffix==”panel_server”

cert.subject.org=”FIT2CLOUD” && port=”9999″ && protocol=”tls” || cert.subject.cn=”panel_server”

使用脚本检测利用

python CVE-2025-54424.py -u 192.168.1.2:9999

x04 影响范围

所有 ≤ v2.0.5 的1Panel版本均受影响，尤其满足以下特征的服务：

• 开放9999/TCP端口至公网
• 未配置IP白名单防火墙
• 未升级至最新版本

0x05 修复方案

立即行动：

终极方案
升级至 1Panel v2.0.6（已修复证书链验证逻辑）

临时加固

# 限制访问IP（示例）
ufw allow from 192.168.1.0/24 to any port 9999
# 修改默认端口
sed -i 's/9999/自定义端口/g' /opt/1panel/conf/app.conf
systemctl restart 1panel

0x06 结语

该漏洞因架构设计缺陷叠加高危接口暴露，已被验证存在大规模攻击风险。运维团队需立即自查，避免服务器沦为黑客肉鸡。

检测脚本领取

  此处内容已隐藏，请评论后刷新页面查看.

使用方法

安装需要的依赖 pip install websocket-client cryptography PySocks requests

usage: CVE-2025-54424.py [-h] (-u URL | -f FILE) [-o OUTPUT] [-t THREADS]
                         [--proxy PROXY]

1Panel 客户端证书绕过RCE漏洞 一体化工具 (扫描+利用)
作者: Mrxn https://github.com/Mr-xn

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     单个目标，进入利用模式。例如: 192.168.1.100:8080
  -f FILE, --file FILE  目标文件，进入批量扫描模式。
  -o OUTPUT, --output OUTPUT
                        [扫描模式] 保存漏洞结果的文件名。
  -t THREADS, --threads THREADS
                        [扫描模式] 并发线程数。
  --proxy PROXY         为所有请求设置代理。例如: http://127.0.0.1:8080