Una vulnerabilidad en LiteSpeed Enterprise podría permitir que una cuenta de alojamiento obtuviera acceso de root en un servidor compartido

Un aviso emi­ti­do ad­vier­te sobre una vul­ne­ra­bi­li­dad crí­ti­ca pre­sen­te en Li­teS­peed Web Ser­ver En­ter­pri­se, la cual po­dría per­mi­tir que un usua­rio con pri­vi­le­gios bajos en un sitio web ob­ten­ga ac­ce­so de root en un ser­vi­dor de alo­ja­mien­to com­par­ti­do. Esta si­tua­ción afec­ta­ría a en­tor­nos donde múl­ti­ples si­tios de clien­tes ope­ran en una sola má­qui­na, po­si­bi­li­tan­do que un ata­can­te con una cuen­ta de alo­ja­mien­to ex­plo­te el fallo para mo­di­fi­car o ac­ce­der tanto al ser­vi­dor como a los demás si­tios web alo­ja­dos.

La pro­ble­má­ti­ca im­pac­ta a las ver­sio­nes an­te­rio­res a la 6.3.7 y tiene la ca­pa­ci­dad de eva­dir me­ca­nis­mos de ais­la­mien­to entre cuen­tas de alo­ja­mien­to, como es el caso de Ca­geFS, una he­rra­mien­ta di­se­ña­da para res­trin­gir la vi­si­bi­li­dad del sis­te­ma de ar­chi­vos a cada cuen­ta. Ante esto, se insta a los ad­mi­nis­tra­do­res a ac­tua­li­zar el sis­te­ma a dicha ver­sión, se­ña­lan­do que la ac­tua­li­za­ción au­to­má­ti­ca po­dría ex­pe­ri­men­tar re­tra­sos y que se pro­por­cio­na un co­man­do es­pe­cí­fi­co para rea­li­zar la ins­ta­la­ción ma­nual de forma in­me­dia­ta.

Hasta el mo­men­to de las pu­bli­ca­cio­nes de los avi­sos, ni las notas de lan­za­mien­to ni las ad­ver­ten­cias ofi­cia­les de­ta­lla­ban el fun­cio­na­mien­to in­terno del fallo, no in­cluían un iden­ti­fi­ca­dor CVE ni una pun­tua­ción de gra­ve­dad, y tam­po­co es­pe­ci­fi­ca­ban si se ha­bían re­gis­tra­do ex­plo­ta­cio­nes en la red. Asi­mis­mo, las fuen­tes in­di­can que esta es la ter­ce­ra oca­sión desde mayo en que se re­por­ta un pro­ble­ma en soft­wa­re de Li­teS­peed en ser­vi­do­res cPa­nel que con­ce­de ac­ce­so de root a una cuen­ta de alo­ja­mien­to, sien­do las dos veces an­te­rio­res en un com­ple­men­to del lado del usua­rio.