CERT Polska ostrzega przed luką cPanel/WHM, która pozwala uwierzytelnionemu użytkownikowi z prawem dodawania domen tworzyć dowolne pliki i może prowadzić do wykonania kodu z uprawnieniami root. Klient hostingu powinien więc sprawdzić, jakich paneli używa operator, kto może dodawać domeny i czy operator wykonał aktualizację.

Czy prawo do dodania domeny można uznać za zbyt wąskie, żeby uwzględniać je w ocenie bezpieczeństwa całego serwera? Komunikat CERT Polska z 28 sierpnia podważa takie założenie dla podatnego cPanel/WHM. W poniedziałek 31 sierpnia oprzyjmy rozmowę z operatorem właśnie na różnicy między przeznaczeniem konta klienta a możliwym skutkiem wykorzystania luki. Użytkownik zaczyna z uprawnieniem do określonej czynności, natomiast opisany skutek sięga poziomu root. Przy ocenie hostingu zapytajmy więc o prawa kont i o stan oprogramowania panelu. Nie znamy na podstawie tego ostrzeżenia sytuacji konkretnego dostawcy; potrzebujemy odpowiedzi dotyczącej usługi, z której korzysta firma.

Prawo dodawania domen jest warunkiem wejścia do ataku

Według CERT Polska podatność cPanel/WHM umożliwia tworzenie dowolnych plików użytkownikowi, który jest uwierzytelniony i ma uprawnienie do dodawania domen. W opisie warunku trzeba zachować oba elementy. Nie ma tu podstaw, by przedstawiać lukę jako dostępną każdemu odwiedzającemu serwer ani by uznać każde konto klienta za spełniające wymagania ataku.

Możliwą konsekwencją jest, jak podaje CERT Polska, wykonanie kodu z uprawnieniami root. To przenosi ocenę ryzyka z konta klienta na administrację serwera, choć punktem wyjścia pozostaje prawo związane z domenami. Właśnie tę granicę powinna obejmować ocena hostingu: uprawnienia potrzebne przed wykorzystaniem podatności oraz zakres uprawnień, do którego może prowadzić jej wykorzystanie.

W przeglądzie cPanel/WHM poprośmy zatem o wskazanie kont uprawnionych do dodawania domen. Przy każdym ustalmy, do czego ten dostęp jest potrzebny i kto odpowiada za jego utrzymanie. Traktujmy to jako ocenę warunku opisanego w ostrzeżeniu. Samo znalezienie takiego konta nie potwierdza wykorzystania luki.

W ocenie cPanel/WHM zakres ryzyka wyznaczajmy także według możliwej eskalacji do root, a nie wyłącznie według przeznaczenia konta klienta.

Procedurę dostępu trzeba zestawić z prawami w panelu

Przełóżmy ostrzeżenie CERT Polska na pytanie kontrolne: czy firmowy przegląd hostingu obejmuje prawo dodawania domen? Jeżeli procedura skupia się na dostępie do administracji serwera, uzupełnijmy ją o ten warunek wykorzystania podatności. To propozycja sprawdzenia własnej praktyki; dostępne fakty nie opisują procedur ani zachowania pracowników konkretnego operatora.

Przy cPanel/WHM porównajmy deklarowany zakres dostępu z uprawnieniami kont. W odpowiedzi administratora szukajmy jednoznacznego wskazania, kto może dodawać domeny. Ogólny opis „konto klienta” tego nie rozstrzyga. Jeżeli brakuje informacji, przypiszmy zadanie jej uzyskania osobie prowadzącej kontakt z operatorem i zapiszmy, czego dokładnie dotyczy brak.

Przeglądu praw do domen nie traktujmy jako powodu do odłożenia aktualizacji zalecanej przez CERT Polska. To dwa odrębne ustalenia: wiedza o dostępie i potwierdzenie wykonania poprawki. Jeśli przegląd wykaże uprawnienia bez uzasadnionego zastosowania, poprośmy ich właściciela o decyzję dotyczącą dalszego dostępu. Nie przedstawiajmy samego uporządkowania kont jako dowodu usunięcia podatności z panelu.

Ocenę operatora oprzyjmy na potwierdzeniu dotyczącym usługi

Dla zarządu wniosek z opisu cPanel/WHM dotyczy zakresu oceny dostawcy. Proponujemy, aby obejmowała możliwość przejścia od uprawnień klienta do uprawnień administracyjnych serwera. Przy rozmowie o tej luce poprośmy o odpowiedź odnoszącą się do panelu obsługującego firmową usługę. Ogólne zapewnienie o aktualizowaniu oprogramowania potraktujmy jako punkt wyjścia do uzyskania konkretnego potwierdzenia.

W zgłoszeniu do operatora wskażmy komunikat CERT Polska i poprośmy o status aktualizacji cPanel/WHM, datę jej wykonania oraz oznaczenie usługi, której dotyczy odpowiedź. Jeżeli prace dopiero zaplanowano, zapiszmy osobę odpowiedzialną za przekazanie wyniku i termin kolejnej informacji. W zestawieniu dla zarządu odróżnijmy aktualizację potwierdzoną od zaplanowanej i od sytuacji, w której nie uzyskano odpowiedzi. Nie oznaczajmy sprawy jako zakończonej na podstawie samego wysłania pytania.

Komunikat CERT Polska nie daje podstaw do wyceny strat firmy ani do przypisania operatorowi incydentu. Decyzję o dalszej współpracy oprzyjmy więc na ustaleniach dotyczących naszej usługi, bez dopisywania historii włamania. W tej ocenie wymagajmy przede wszystkim wskazania używanego panelu, zakresu praw do domen i stanu aktualizacji. Jeśli operator nie potwierdzi któregoś z tych elementów, nazwijmy go w raporcie jako nieustalony.

Potwierdzenie aktualizacji cPanel/WHM powinno wskazywać usługę, której dotyczy; deklaracja ogólnej dbałości o hosting nie zamyka tego sprawdzenia.

Komunikat CERT Polska daje polskim firmom punkt odniesienia

Ostrzeżenie z 28 sierpnia pochodzi od CERT Polska i zawiera zalecenie aktualizacji. Dla polskiej firmy korzystającej z hostingu jest to konkretna podstawa do skierowania pytań do operatora. W wiadomości podajmy tytuł oraz datę komunikatu, aby odpowiedź odnosiła się do tej podatności cPanel/WHM.

Opis luki nie rozstrzyga, ilu polskich klientów może dotyczyć problem ani jaki jest stan panelu obsługującego naszą firmę. Nie potwierdza też ataku na jej serwer. W rozmowie o cPanel/WHM zachowajmy tę granicę wiedzy: zalecenie aktualizacji uzasadnia działanie, a ocenę konkretnego hostingu uzupełniają dopiero informacje od operatora. Dopóki ich brakuje, nie zastępujmy ustaleń ani zapewnieniem o bezpieczeństwie, ani twierdzeniem o przejęciu serwera.

Co z tym zrobić w poniedziałek

Na każdą czynność przeznacz do 30 minut. Wynikiem ma być zapis ustaleń albo wysłana prośba o uzupełnienie informacji; odpowiedź operatora może wymagać osobnego terminu.

  1. Ustal używany panel. Sprawdź dokumentację wybranej usługi hostingowej i zapisz, czy korzysta z cPanel/WHM. Jeśli informacji brakuje, wyślij operatorowi pytanie z oznaczeniem usługi oraz linkiem do komunikatu CERT Polska.
  2. Sprawdź prawa dodawania domen. Zestaw dostępne informacje o kontach cPanel/WHM z tym uprawnieniem i osobach odpowiedzialnych za dostęp. Brakujące dane wpisz do prośby do administratora; przy ustalonych kontach zapisz cel zachowania prawa do domen.
  3. Poproś o potwierdzenie aktualizacji. Skieruj do operatora prośbę o status poprawki dotyczącej wskazanego ostrzeżenia, datę wykonania oraz zakres obejmujący firmową usługę. Zapisz osobę, która odbierze odpowiedź; do jej uzyskania pozostaw status jako niepotwierdzony.

Przy ocenie hostingu granica odpowiedzialności za cPanel/WHM powinna obejmować również skutki eskalacji z konta klienta do administracji serwera. Wymagajmy od operatora odpowiedzi łączącej zakres dostępu z potwierdzeniem aktualizacji. Prawo dodawania domen powinno wejść do tej rozmowy jako warunek opisanego scenariusza ataku.

Źródła

Redakcja cyberinsight.pl.