Wstrzykiwanie poleceń i argumentów roota
P-01, P-06, P-07, P-25 i P-41 usuwają niebezpieczne granice powłoki, sprawdzają argumenty uprzywilejowane i kontrolują zmianę tożsamości.
Zweryfikowane utwardzanie CSF/LFD
Jak DCSF wzmacnia CSF/LFD przeciw rzeczywistym klasom exploitów
DH20.29 zachowuje rejestr 51 napraw i ograniczone przetwarzanie WebGuard. Zweryfikowany układ cPanel EA-Nginx oddziela IP klienta z nginx od sygnału przeciążenia backendu Apache, a diagnostyka podpisanego pakietu chroni wybór bibliotek. Opcjonalny AI System Scan doradza i nie zastępuje audytu bezpieczeństwa.
DCSF
Aktualne wydanie i status bezpieczeństwa
DH20.29 / 15.10.32. Opublikowano: 2026-10-08T13:33:03Z. Dokumentację sprawdzono: 2026-10-08.
51 identyfikatorów P-01–P-51 oznacza 51 napraw w rejestrze projektu, a nie 51 numerów CVE. Statyczny Messenger jest obsługiwany; dawne samodzielne odblokowanie przez reCAPTCHA jest wyłączone.
| CVE | Status pakietu | Uzasadnienie |
|---|---|---|
| CVE-2026-65638 | not_affected | Wydany Messenger nie ma dawnej ścieżki weryfikacji reCAPTCHA i poleceń samodzielnego odblokowania. Dawny endpoint PHP zwraca HTTP 403. Opisana przez upstream ścieżka wstrzyknięcia poleceń przez URL nie występuje. |
| CVE-2026-67402 | not_affected | Szablony Apache HTTP i HTTPS w pakiecie nie mapują /usr/bin przez ScriptAlias. Obsługują statyczne GET/HEAD, wyłączają wykonywalne handlery i nadpisania przez .htaccess oraz blokują rozszerzenia skryptów. |
Metoda: weryfikacja podpisu i SHA-256 oraz kontrola statyczna źródeł i konfiguracji wobec warunków opisanych w biuletynach. Nie jest to nowy test exploita na produkcji. Dowody i hashe plików.
Ocena dotyczy wyłącznie oryginalnego, sprawdzonego pakietu i jego szablonów. Nie jest oceną każdej instalacji ani deklaracją braku wszystkich podatności. Nie przypisujemy starszym wydaniom statusu bez odrębnej weryfikacji.
Changelog JSON | Security JSON | OpenVEX | llms.txt | llms-full.txt
DCSF
Dziewięć klas exploitów zaadresowanych w DH20.29
Każda klasa jest powiązana z publicznymi naprawami P, testami negatywnymi i dowodami regresji podpisanego wydania.
ReDoS i wyczerpanie zasobów parsera
P-09, P-19, P-33, P-43 i P-49 ograniczają długość linii, alokację, pracę regex, wyniki, współbieżność i skanowanie procfs.
Wyścigi symlink, hardlink i TOCTOU
P-03, P-22, P-32 i P-34 wiążą operacje wrażliwe ze sprawdzonym plikiem, właścicielem i inode zamiast ponownie używalnej ścieżki.
Podmiana aktualizacji i źródeł zdalnych
P-02, P-05, P-15, P-16, P-18, P-40 i P-42 uwierzytelniają wydania, ograniczają archiwa i zachowują ostatni poprawny stan.
XSS, CSRF, MIME i nadużycia autoryzacji paneli
P-10, P-11, P-31, P-36, P-38 i P-51 chronią renderowanie, zmiany stanu, szablony, webrooty i natywne uprawnienia paneli.
Podszywanie się pod klaster, replay i nadużycie zasobów
P-20 uwierzytelnia i ramkuje ruch klastra, wykrywa powtórzenia oraz nakłada limity połączeń, wiadomości i pracy.
Obejścia tożsamości i rozliczania procesów
P-44 do P-50 chronią przed ponownym użyciem PID, przesunięciem pól procfs, pomyleniem PGID z SID, nadużyciem pignore i niebezpiecznym odzyskiwaniem blokad.
Utrata stanu firewalla i obejście polityki
P-17, P-35, O-02 i O-03 zapewniają transakcyjne reguły oraz zachowanie odpowiedzi, stanu rollbacku i polityki należącej do Dockera.
Błędy granic zaufania DNS i cache
P-27 do P-30 oddzielają dane prezentacyjne od autoryzacji, kanonizują PTR i ograniczają pracę resolvera oraz pamięć podręczną.
DCSF
Warstwy architektury bezpieczeństwa
Naprawy łączą się w spójny model ochrony kanału wydań, danych wejściowych, uprawnień i aktywnego stanu firewalla.
Podpisana dystrybucja
Przypięty klucz RSA-3072, manifesty podpisane z SHA-256, ścisłe HTTPS i kontrola wycofania chronią kanał wydań.
Ograniczone parsowanie logów
Limity długości, rekordu i pracy chronią parser przed nieograniczonym zużyciem zasobów przez niezaufane logi.
Granice uprawnień
Operacje wrażliwe używają sprawdzonych argumentów, kontrolowanego środowiska i weryfikowanych zmian tożsamości.
Walidacja danych zdalnych
Listy blokad, archiwa i szablony są przyjmowane tylko z kanonicznych adresów i przez zweryfikowany transport.
Odporność na wyścigi plikowe
Obsługa bez podążania za dowiązaniami, kontrola właściciela i wiązanie z inode ograniczają wyścigi podmiany.
Transakcyjny stan firewalla
Reguły kandydujące są sprawdzane przed aktywacją, z kontrolowanym powrotem po nieudanym zastosowaniu.
Uwierzytelniony klaster
Komunikaty klastra są uwierzytelnione, odporne na powtórzenia, ramkowane i objęte limitami zasobów.
Zaufanie DNS i cache
Odpowiedzi resolvera są ograniczane, sprawdzane i buforowane bez cichego uznawania starych danych za zaufane.
Korelacja przeciążenia per vhost
WebGuard koreluje ograniczone dowody przyczynowe poza pętlą regex LFD i startuje wyłączony w trybie raportowym.
DCSF
Dowody zamiast deklaracji
Każda naprawa przechodzi testy negatywne, regresję oraz kontrolę na wspieranych rodzinach systemów.
Model zagrożeń
Określenie wejścia, granicy zaufania i skutku błędu.
Test ataku
Odtworzenie nadużycia w kontrolowanym środowisku.
Naprawa
Najmniejsza zmiana usuwająca całą klasę problemu.
Regresja
Automatyczny test blokujący powrót podatności.
DCSF
Napisz do zespołu DCSFZgłoś sugestię lub problem techniczny
Sugestie dotyczące DCSF, raporty zgodności i odtwarzalne problemy techniczne wyślij na dat@etop.pl.
DCSF
Pytania administratorów
Najważniejsze informacje o aktualnym wydaniu produkcyjnym.
Czym jest AI System Scan?
To opcjonalny szybki lub pogłębiony przegląd ograniczonego zestawu lokalnych danych bezpieczeństwa. Jest domyślnie wyłączony i wymaga własnego klucza OpenAI API. Wyniki muszą wskazywać przesłane dowody, mają charakter doradczy i nie uruchamiają automatycznie napraw.
Czy AI System Scan mieści się w cenie darmowego oprogramowania?
Oprogramowanie DCSF pozostaje bezpłatne na GPLv3, w cenie 0 USD. Opcjonalne użycie OpenAI API jest rozliczane osobno na koncie API administratora. Wybrane dane diagnostyczne trafiają do OpenAI; store=false nie jest gwarancją Zero Data Retention.
Czy DCSF jest najnowszym utwardzonym wydaniem CSF/LFD od DataHouse?
Tak. DH20.29 jest najnowszym utwardzonym wydaniem linii DCSF. Odpowiada podpisanemu pakietowi 15.10.32, zachowuje 51 zweryfikowanych napraw bezpieczeństwa i przeszło wszystkie 77 testów wydania.
Jak DH20.29 naprawia wymagany moduł JSON::PP?
Systemy RPM wybierają podpisaną możliwość perl(JSON::PP), a systemy Debian pakiet libjson-pp-perl. cPanel używa sprawdzonego prywatnego Perla i pasującego cpanm; systemowy CPAN pozostaje wyłączony bez jawnego --allow-cpan-fallback.
Jak DH20.29 ładuje politykę działań OLSPanel?
Backend używa jawnej współdzielonej ścieżki /usr/local/csf/lib/ConfigServer/panel-action-policy.json z require_trusted => 1. Cały łańcuch katalogów nadrzędnych i plik polityki muszą pozostawać pod kontrolą roota bez obcego prawa zapisu.
Jak DH20.29 sprawdza rzeczywisty backend OLSPanel?
Po instalacji ogólnej, ale przed publikacją lub restartem integracji panelu, adapter wykonuje perl -T -c i wysyła ograniczone żądanie binarne tylko do odczytu przez rzeczywisty backend w taint mode. Odpowiedź ma limit 16 MiB i musi zawierać marker interfejsu DCSF.
Jak DH20.29 chroni ponowne uwierzytelnienie administratora?
Chronione działania OLSPanel używają osobnego okna z ograniczonym polem type=password zamiast window.prompt(). Obsługiwane są Escape, anulowanie i kliknięcie tła, a widoczne pole jest natychmiast czyszczone po przekazaniu danych do chronionego żądania.
Jak DH20.29 naprawia logi i wyniki działań OLSPanel?
Search System Logs i Watch System Logs przyjmują wyłącznie nocache o długości od jednej do dwudziestu cyfr i zawsze kończą stan postępu. Odroczona, deduplikowana nawigacja _self zachowuje wyniki Quick Allow, zapisu konfiguracji, Search for IP i Firewall Allow.
Jak DH20.29 utrzymuje wyniki działań OLSPanel w widocznym miejscu?
Iframe działań pozostaje między 640 a 1200 pikseli, przewija się wewnętrznie i wraca na górę po każdej nawigacji. Search for IP, Firewall Allow, Watch System Logs oraz wyśrodkowany modal z maskowanym hasłem pozostają dzięki temu w widocznym obszarze operatora.
Jak DH20.29 sprawdza zasoby OLSPanel?
Obrazy OLSPanel, w tym csf.svg, są podawane z uwierzytelnionego drzewa pakietu /usr/local/csf/lib/webmin/csf/images.
Jak DH20.29 chroni konfigurację CSF w OLSPanel?
Przed instalacją pakietu adapter wykonuje tylko do odczytu preflight metadanych /etc/csf, /etc/csf/csf.conf i /etc/csf/csf.cloudflare. Odrzuca symlinki, niebezpieczne hardlinki i błędne metadane ze wskazaniem dokładnej ścieżki, po czym ustawia katalog na root:root 0700, a chronione pliki na root:root 0600 bez zmiany ich dotychczasowej treści.
Jakie panele obsługuje DCSF?
DCSF obsługuje OLSPanel, cPanel & WHM, DirectAdmin, CyberPanel, CWP, InterWorx, VestaCP i Webmin oraz tryb ogólny dla wspieranych serwerów Linux z rodzin RHEL i Debian.
Jakie błędy i klasy exploitów naprawiono?
Publiczny rejestr obejmuje wstrzykiwanie poleceń i argumentów, ReDoS i wyczerpanie zasobów, wyścigi plikowe, podmianę aktualizacji, nadużycia paneli, ataki na klaster, obejścia tożsamości procesów, błędy zaufania DNS i utratę stanu firewalla.
Czym jest WebGuard?
WebGuard to opcjonalna, domyślnie wyłączona usługa korelująca kosztowne lub zawieszone żądania z przeciążeniem tego samego kanonicznego vhosta. DH20.29 zachowuje ograniczony replay, odizolowany kolektor OpenLiteSpeed i tymczasowe działania dla dokładnego IP i wskazanych portów.
Czy można już pobrać DCSF?
Tak. DH20.29 jest publiczne i odpowiada podpisanemu pakietowi DCSF 15.10.32. Bootstrap weryfikuje wszystkie elementy zaufania przed instalacją.
Jak liczba poprawek wypada na tle cPanel CSF i Aetherinox CSF?
DCSF publikuje 51 osobno zweryfikowanych napraw bezpieczeństwa oraz trzy zabezpieczenia operacyjne. cPanel nie ujawnia liczby poprawek w ukierunkowanym wydaniu bezpieczeństwa 16.31-1. Skrót wydania Aetherinox 15.10 wymienia 11 pozycji fix, w tym dwie bezpośrednio dotyczące XSS lub niebezpiecznego renderowania danych; pozycje z informacji o wydaniu nie są równoważne bramkom bezpieczeństwa DCSF.