Una nueva vulnerabilidad en cPanel permite que una cuenta de alojamiento con privilegios de correo ejecute código como root

cPa­nel ha lan­za­do un par­che para co­rre­gir una vul­ne­ra­bi­li­dad que per­mi­te que una cuen­ta de alo­ja­mien­to con pri­vi­le­gios vin­cu­la­dos al co­rreo elec­tró­ni­co ge­ne­re ar­chi­vos en el ser­vi­dor a tra­vés de Email­Track, lo que po­si­bi­li­ta eje­cu­tar có­di­go con per­mi­sos de usua­rio root y com­pro­me­ter la má­qui­na en­te­ra. Este fallo, cla­si­fi­ca­do como un pro­ble­ma de in­yec­ción SQL en Email­Track, se ras­trea bajo un iden­ti­fi­ca­dor es­pe­cí­fi­co y afec­ta a todas las ver­sio­nes com­pa­ti­bles del soft­wa­re de con­trol de alo­ja­mien­to web y de WHM.

Apo­de­rar­se del panel de ad­mi­nis­tra­ción otor­ga ac­ce­so ad­mi­nis­tra­ti­vo total al ser­vi­dor, per­mi­tien­do al ata­can­te leer todas las cuen­tas de alo­ja­mien­to pre­sen­tes, mo­di­fi­car ar­chi­vos y bases de datos, ge­ne­rar cuen­tas ocul­tas, ins­ta­lar soft­wa­re ma­li­cio­so, robar cre­den­cia­les y pro­pa­gar­se hacia las redes de los clien­tes. El aviso ofi­cial pro­por­cio­na las ins­truc­cio­nes ne­ce­sa­rias para ac­tua­li­zar el ser­vi­dor me­dian­te la in­ter­faz de WHM o uti­li­zan­do la línea de co­man­dos con pri­vi­le­gios de root, aun­que la com­pa­ñía no in­clu­yó me­di­das tem­po­ra­les para aque­llos ser­vi­do­res que no pue­dan ac­tua­li­zar­se de in­me­dia­to ni es­pe­ci­fi­có si la ins­ta­la­ción de las com­pi­la­cio­nes co­rre­gi­das ayuda en equi­pos que ya hu­bie­ran sido ata­ca­dos pre­via­men­te.

Hasta las fe­chas de re­vi­sión se­ña­la­das, no se ha­bían en­con­tra­do có­di­gos de ex­plo­ta­ción pú­bli­cos, in­for­mes de ata­ques ac­ti­vos ni re­gis­tros del fallo en el ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das, y tam­po­co se había pu­bli­ca­do una pun­tua­ción de gra­ve­dad en el re­gis­tro de CVE. Adi­cio­nal­men­te, el aviso re­co­no­ce a los in­ves­ti­ga­do­res que re­por­ta­ron el pro­ble­ma y men­cio­na que otras fa­llas re­cien­tes co­mu­ni­ca­das desde fi­na­les de julio tam­bién per­mi­tían a cuen­tas co­mu­nes de alo­ja­mien­to al­can­zar pri­vi­le­gios ad­mi­nis­tra­ti­vos o eje­cu­ción de có­di­go como root a tra­vés de dis­tin­tas vías.