昨晚8点 宝塔发布官方平台短信
催促各位更新啦
与此同时，宝塔官方发布了宝塔面板7.4.2的手动更改API鉴权破解方法
该漏洞可以使其他人无需鉴权就能进入数据库改数据或删库
宝塔 Linux 面板是提升运维效率的服务器管理软件，支持一键 LAMP / LNMP /集群/监控/网站/ FTP /数据库/ JAVA 等100多项服务器管理功能。目前互联网中已公布相关利用的 POC，建议受影响企事业单位尽快修复。
漏洞：
凡是在宝塔面板安装了phpmyadmin数据库管理软件
只要通过对应方法，无需用户名密码即可操作数据库
其中888为默认端口，若自定义端口，便可能是其它端口，可以自行测试有没有该漏洞
影响范围:
宝塔 linux 面板 7.4.2
宝塔 windows 面板 6.8
安装了 phpmyadmin。（其他版本不影响）
根据目前 FOFA 系统最新数据（一年内数据），显示全球范围内（app="宝塔-Linux控制面板"）共有 2,592,629 个相关服务对外开放。美国使用数量最多，共有 1,279,856 个；中国大陆第二，共有 461,268 个；中国香港第三，共有 401,294 个；南非第四，共有 238,695 个；澳大利亚第五，共有 19,850 个。
全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）
中国大陆地区浙江使用数量最多，共有 93,211 个；北京第二，共有 54,557 个；广东第三，共有 14,903 个，广西第四，共有 6,492 个；江苏第五，共有 5,781 个。
漏洞POC：
目前 FOFA 客户端平台已经更新检测 POC。
解决方法:
升级7.4.3即可解决 ，官方链接： https://www.bt.cn/bbs/thread-54666-1-1.html
通过修改 pma 配置文件，屏蔽对应端口，关闭公共访问权限等方法也可解决
升级脚本（注意：优先在面板首页直接点更新，失败的情况下，才使用此命令，且不能在面板自带的SSH终端执行）：
curl https://download.bt.cn/install/update_panel.sh|bash
离线升级步骤：
1、下载离线升级包：http://download.bt.cn/install/update/LinuxPanel-7.4.3.zip
2、将升级包上传到服务器中的/root目录
3、解压文件：unzip LinuxPanel-7.4.3.zip
4、切换到升级包目录：cd panel
5、执行升级脚本：bash update.sh
6、删除升级包：cd .. && rm -f LinuxPanel-7.4.3.zip && rm -rf panel
update：
据loc大佬解释，实际BUG原因是phpmyadmin安全访问模块的原因。在新版中已经暂时取消。
更新2 目前已知受影响版本为：Linux面板7.4.2版本/Windows面板6.8版本 。其他版本建议立刻更换888端口，以及在防火墙中禁止phpmyadmin访问权限。
更新3 Linux v7.5.14(测试版) 也有风险，小白没有此版本。建议使用测试版的马上更新。
更新4 如果怀疑自己数据库被别人动过。可以查看/www/wwwlog下面的access.log（是不是异地IP），查看nginx的888端口访问记录。如果有记录，建议恢复到昨天，或者以前版本。避免被提权。
文章来源：安全圈
