Ayrıntılı anlatım
# SunucuKontrol 1.118.4
1.118.4, panele yapılabilecek saldırıları saldırganın gözünden tek tek ele aldığımız bir analizin sonucunda çıkan güvenlik sürümü. Analizde giriş, parola sıfırlama, oturum, sahte istek (CSRF), betik enjeksiyonu (XSS), sunucu taraflı istek sahteciliği (SSRF), arşiv açma, kaba kuvvet ve kayıt formu spamı gibi yirmiyi aşkın saldırı türü için panelin savunması kodda tek tek doğrulandı. Hepsinde koruma yerindeydi; iki noktada eksik bulundu ve bu sürümle kapandı.
Bu sürüm kimin işine yarar?
- Müşterilerinin sitelerini panelden önizleyen ya da onlar için uygulama kuran yöneticiler ve bayiler.
- Git ile otomatik dağıtım kullanan site sahipleri.
- Medya Kontrol bağlantısını kullananlar.
Önizlenen site panel sekmenizi yönlendiremiyor
Alan adı ayrıntısındaki "Önizleme" ve Uygulamalar ekranında kurulum bittikten sonra açılan sekme, sitenin kendisini yükler. O sitenin içeriği ve kodu müşteriye aittir.
Önceki sürümlerde bu yeni sekme, onu açan panel sekmesiyle tarayıcı düzeyinde bağlı kalıyordu. Kötü niyetli bir site sahibi sitesine tek satırlık bir kod koyarak, siz önizlemeye bakarken arka plandaki panel sekmenizi panelinize benzeyen sahte bir "oturumunuz kapandı, yeniden girin" sayfasına çevirebilirdi. Sekmeye döndüğünüzde parolanızı oraya yazmanız beklenirdi.
Artık bu sekmeler panel sekmesiyle bağ kurmadan açılıyor; açılan site panel sekmenize hiçbir şekilde dokunamaz. WordPress, phpMyAdmin, Adminer ve webmail'e doğrudan giriş düğmeleri zaten böyle çalışıyordu; önizleme ve uygulama açılışı da aynı kurala geçti.
Kendinizi korumak için genel bir alışkanlık: panel bir anda yeniden giriş isterse adres çubuğundaki adresin panelinizin adresi olduğuna bakın.
Git dağıtım adresine yapılan denemeler kaydı şişirmiyor
Git ile otomatik dağıtımda, depo sağlayıcınız (GitHub, GitLab, Gitea) her gönderimde panelin dağıtım adresini gizli bir anahtarla çağırır. Anahtar yanlışsa istek reddedilir ve bu deneme denetim kaydına yazılır.
Önceden her yanlış deneme ayrı bir satır olarak yazılıyordu. İnternetten bu adrese sürekli rastgele anahtar deneyen biri, denetim kaydını kendi hızında büyütebilirdi. Artık aynı adresten gelen yanlış denemeler dakikada en çok bir satır olarak yazılıyor. Reddetme davranışı değişmedi: yanlış anahtarla hiçbir dağıtım başlamaz. Dinamik DNS güncelleme adresi zaten bu kuralla çalışıyordu.
Medya Kontrol bağlantısı yeni sekmede açılıyor
Trafik Analizi ekranındaki Medya Kontrol düğmesi bazı tarayıcılarda boş bir sekme açıp panelin kendisini Medya Kontrol'e götürüyordu; panele dönmek için geri gelmeniz gerekiyordu. Artık bağlantı yeni sekmede açılıyor ve panel olduğu yerde kalıyor.
Sonrasında yapılacaklar
- Güncelleme kendiliğinden uygulanır; ek bir adım gerekmez.
- Panel sekmesi açıksa sayfayı bir kez yenileyin (Ctrl+F5 / Cmd+Shift+R); yeni davranış yenilenen sayfayla gelir.
- Analizde ayrıca planlanan bir iyileştirme var: URL içinde taşınan tek kullanımlık bağlantıların sunucunun erişim günlüğünde maskelenmesi. Bu günlüğü yalnız sunucu yöneticisi okuyabildiği için acil değil; sunucu yapılandırmasını değiştirdiği için ayrı bir sürümde gelecek.
Değişiklik listesi
Panelde Panel Yönetimi → Panel Güncellemesi ekranında gösterilen sürüm notunun tamamı:
Güvenlik
- Alan adı önizlemesi ve uygulama kurulumu sonrasında açılan sekme artık panel sekmesine bağlı değil. Önceden önizlenen sitenin kendi kodu, arka plandaki panel sekmesini sahte bir giriş ekranına yönlendirebiliyordu.
- Git dağıtım adresine yapılan geçersiz anahtar denemeleri denetim kaydına aynı adresten dakikada en çok bir kez yazılıyor; deneme yağmuru kaydı şişiremiyor.
Düzeltmeler
- Medya Kontrol düğmesi bağlantıyı yeni sekmede açıyor; önceden boş bir sekme açılıp panelin kendisi Medya Kontrol'e gidiyordu.
Bu sürüme nasıl geçilir?
Panelde Panel Yönetimi → Panel Güncellemesi ekranında Güncellemeyi Denetle deyin; sürüm numarasının yanında bu sayfadaki notlar görünür. Kurulum tek tıktır ya da gece kendiliğinden yapılabilir. Paket, yayıncının RSA-4096 anahtarıyla imzalanmış bir manifestle gelir; imza doğrulanmazsa kurulum başlamaz, kurulum sonrası sağlık denetimi geçmezse panel önceki sürüme kendiliğinden döner. Güncelleme için lisansın geçerli olması gerekir; süresi dolmuş lisansta panel ve siteler çalışmaya devam eder.