CVE-2020-26105

cPanel: Niebezpieczne domyślne dane uwierzytelniające w usłudze chkservd

CVSS 9.8v3.1pub. 2020-09-25upd. 2024-11-21

W cPanel przed wersją 88.0.3 usługa chkservd używała niezabezpieczonych, szablonowych danych uwierzytelniających na maszynie wirtualnej opartej na szablonie. Podatność umożliwia obejście mechanizmów uwierzytelniania (Auth Bypass) i jest oceniana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

In cPanel before 88.0.3, insecure chkservd test credentials are used on a templated VM (SEC-554).

🤖 Analiza AI

Jak działa

Problem wynika z zastosowania niebezpiecznych, przewidywalnych lub domyślnych danych uwierzytelniających (CWE-287 — nieprawidłowe uwierzytelnianie) w testowym mechanizmie usługi chkservd, gdy system jest wdrażany na podstawie szablonu maszyny wirtualnej (templated VM). Atakujący zdalny, nieuwierzytelniony użytkownik może wykorzystać te znane dane do uzyskania dostępu do systemu bez posiadania uprawnionych poświadczeń. Wdrożenia oparte na szablonach VM mogą powielać ten problem na wielu instancjach jednocześnie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do systemu z pominięciem uwierzytelniania, co potencjalnie prowadzi do pełnego przejęcia kontroli nad serwerem, naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować cPanel do wersji 88.0.3 lub nowszej, w której problem SEC-554 został usunięty. Szczegóły dostępne w oficjalnym changelogu producenta: https://docs.cpanel.net/changelogs/88-change-log/

Kogo dotyczy

cPanel w wersjach przed 88.0.3, wdrożonych na szablonowych maszynach wirtualnych (templated VM).

Uwagi

Podatność została oznaczona wewnętrznym identyfikatorem producenta SEC-554. Problem dotyczy specyficznie środowisk wdrożonych na podstawie szablonów VM, co może oznaczać szerokie powielenie luki w środowiskach hostingowych i chmurowych wykorzystujących takie szablony.