Kritische LiteSpeed Enterprise-Schwachstelle kann Hosting-Account Root-Zugriff ermöglichen

Eine kritische LiteSpeed Enterprise Schwachstelle kann einem Hosting-Benutzer mit eingeschränkten Rechten ermöglichen, Root-Zugriff auf den gesamten Server zu erhalten. Betroffen sind LiteSpeed Web Server Enterprise-Versionen vor 6.3.7. Besonders kritisch ist die Sicherheitslücke auf Shared-Hosting-Servern, auf denen mehrere Kunden und Websites dasselbe System nutzen.

Über diese LiteSpeed Enterprise Schwachstelle kann ein Angreifer möglicherweise die Grenzen seines eigenen Hosting-Accounts verlassen und Mechanismen zur Account-Isolierung, darunter CageFS, umgehen. Eine erfolgreiche Rechteausweitung auf Root kann dadurch Auswirkungen auf andere Websites, Datenbanken und Dienste auf demselben Server haben.

Vservs empfiehlt Administratoren von LiteSpeed Web Server Enterprise, die exakt installierte Version sofort zu überprüfen und Installationen vor 6.3.7 unverzüglich zu aktualisieren.

Was ist das Sicherheitsproblem?

Bei der Schwachstelle handelt es sich um eine Privilege-Escalation-Sicherheitslücke in LiteSpeed Web Server Enterprise.

Ein Angreifer, der bereits über eingeschränkten Zugriff auf einen Website- oder Hosting-Account verfügt, kann die Schwachstelle möglicherweise nutzen, um seine Berechtigungen bis auf Root-Ebene zu erhöhen.

Root ist die höchste Berechtigungsstufe auf einem Linux-Server. Nach erfolgreicher Rechteausweitung können die Sicherheitsgrenzen zwischen einzelnen Hosting-Accounts nicht mehr als zuverlässig betrachtet werden.

CageFS-Isolierung kann umgangen werden

Nach Angaben von cPanel kann die Schwachstelle die erwartete Isolierung zwischen Hosting-Accounts umgehen.

Dies betrifft unter anderem CageFS, das insbesondere in CloudLinux-Umgebungen eingesetzt wird, um einzelne Hosting-Benutzer vom restlichen Server zu isolieren.

Ein kompromittierter oder böswilliger Hosting-Account könnte dadurch möglicherweise seine isolierte Umgebung verlassen und Zugriff auf Ressourcen anderer Kunden oder auf das zugrunde liegende Betriebssystem erhalten.

Welche LiteSpeed-Versionen sind betroffen?

Betroffen:

• LiteSpeed Web Server Enterprise-Versionen vor 6.3.7.

Behoben:

• LiteSpeed Web Server Enterprise 6.3.7 oder neuer.

Administratoren sollten die tatsächlich installierte LiteSpeed-Version kontrollieren und nicht davon ausgehen, dass Betriebssystem- oder Control-Panel-Updates automatisch auch den Webserver aktualisiert haben.

Was kann ein Angreifer erreichen?

Eine erfolgreiche Ausnutzung kann einem Angreifer unter anderem ermöglichen:

• Root-Rechte auf dem Linux-Server zu erhalten;
• die Grenzen des eigenen Hosting-Accounts zu verlassen;
• die CageFS-Isolierung zu umgehen;
• auf Dateien anderer Websites oder Kunden zuzugreifen;
• sensible Konfigurationsdateien zu lesen oder zu verändern;
• auf Datenbanken und Zugangsdaten zuzugreifen;
• Serverkonfigurationen zu verändern;
• Malware oder dauerhafte Backdoors zu installieren.

Auf einem Shared-Hosting-System können die Auswirkungen damit weit über den ursprünglich verwendeten Hosting-Account hinausgehen.

Wird die Schwachstelle aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung liegen Vservs keine zuverlässigen Hinweise auf eine großflächige aktive Ausnutzung dieser LiteSpeed Enterprise Schwachstelle vor.

Das Fehlen bestätigter Angriffe ist jedoch kein Grund, das Update aufzuschieben. Eine Privilege-Escalation-Schwachstelle, die Root-Zugriff auf einen Hosting-Server ermöglichen kann, stellt ein erhebliches Sicherheitsrisiko dar.

Was sollten Serveradministratoren jetzt tun?

• Kontrollieren, ob LiteSpeed Web Server Enterprise installiert ist.
• Das exakte Versionsnummer überprüfen.
• Alle Installationen vor 6.3.7 sofort aktualisieren.
• Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
• Hosting-Accounts mit Shell- oder anderem lokalem Zugriff überprüfen.
• Kürzlich geänderte Dateien und verdächtige Prozesse kontrollieren.
• Administrative SSH-Zugänge und authorized_keys überprüfen.

cPanel nennt für das direkte Update auf LiteSpeed 6.3.7 folgenden Befehl:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

Kontrolle auf eine mögliche Kompromittierung

Eine verwundbare LiteSpeed-Version bedeutet nicht automatisch, dass ein Server kompromittiert wurde. Systeme, die mit einer verwundbaren Version erreichbar waren, können jedoch zusätzlich auf Anzeichen einer Privilege Escalation kontrolliert werden.

• unbekannte Prozesse, die als Root ausgeführt werden;
• unerwartete Änderungen unter /root;
• unbekannte Einträge in SSH-authorized_keys;
• neue oder unbekannte Systembenutzer;
• unerwartete Cronjobs;
• neue oder veränderte systemd-Services;
• unerwartete Setuid-Dateien;
• Dateiänderungen außerhalb der Grenzen einzelner Hosting-Accounts.

Werden Hinweise auf eine erfolgreiche Rechteausweitung gefunden, reicht die Installation des LiteSpeed-Updates nicht aus. Der gesamte Server sollte dann als potenziell kompromittiert untersucht werden.

Vservs Managed Hosting

Bei Vservs Managed VPS gehören Betriebssystem-Updates, Server-Hardening, Monitoring und technische Serververwaltung zum Managed Service.

Schwachstellen wie diese zeigen, dass für die Sicherheit einer Hosting-Umgebung nicht nur das CMS entscheidend ist. Auch Webserver, Control Panel und Betriebssystem müssen kontinuierlich aktuell gehalten werden.

Quellen

• cPanel – LiteSpeed Enterprise Security Advisory