В LiteSpeed Enterprise нашли уязвимость с риском root-доступа на shared-хостинге
cPanel предупредила, что пользователь с обычным хостинг-аккаунтом может обойти изоляцию на общем сервере и получить полный контроль над системой. Администраторам рекомендовали вручную обновить LiteSpeed Web Server Enterprise до версии 6.3.7.
В LiteSpeed Web Server Enterprise обнаружена критическая уязвимость, которая может позволить владельцу одного хостинг-аккаунта получить root-доступ к общему серверу. Об этом 14 сентября предупредила cPanel: проблема затрагивает версии ниже 6.3.7.
На shared-хостинге сайты множества клиентов работают на одной машине. По данным cPanel, уязвимость позволяет обойти механизмы, разделяющие аккаунты, включая CageFS — инструмент CloudLinux, который ограничивает каждому пользователю доступ к файловой системе и конфигурации сервера. В результате атакующий с одним аккаунтом теоретически может получить доступ к другим сайтам, изменить их содержимое или скомпрометировать сам сервер.
LiteSpeed выпустила версию 6.3.7 11 сентября. Компания описала релиз в общих словах — как обновление с исправлениями безопасности и ошибок, но не указала в журнале изменений уязвимость повышения привилегий. Ни advisory cPanel, ни release notes LiteSpeed не описывают технический механизм проблемы; компании также публично не уточнили, какое именно изменение в релизе устраняет её.
cPanel и LiteSpeed рекомендуют немедленно установить 6.3.7 командой:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
Ручное обновление особенно актуально из-за возможной задержки в канале автообновлений. По состоянию на 15 сентября на странице загрузок LiteSpeed стабильной версией всё ещё была указана 6.3.6. Принудительная установка конкретной версии отключает следование стабильному каналу; вернуть автоматические обновления можно командой touch /usr/local/lsws/autoupdate/follow_stable.
Идентификатор CVE и оценка критичности для этой уязвимости пока не опубликованы. В предупреждении также нет сведений об атаках с её использованием, индикаторов компрометации или временного способа защиты для тех, кто не может обновиться сразу. Уведомление касается только Enterprise-редакции: о статусе OpenLiteSpeed и релиз-кандидатов ветки 6.4.0 источники не сообщают.