Eine Sicherheitslücke in LiteSpeed Web Server Enterprise ermöglicht es einem Benutzer mit geringen Berechtigungen, Root-Zugriff auf einem betroffenen Shared-Hosting-Server zu erlangen. Die Schwachstelle kann die Kontoisolierungsmechanismen, einschließlich CloudLinux CageFS, umgehen.
Die Sicherheitslücke ist besonders gravierend für Shared-Hosting-Anbieter, da ein betroffener Server Webseiten vieler, nicht miteinander verbundener Kunden enthalten kann.
Die Schwachstelle bedroht die Isolation im Shared Hosting.
Beim Shared Hosting werden mehrere Kundenkonten auf demselben Server gehostet. Eine Software zur Kontoisolierung beschränkt jeden Kunden auf eine zugewiesene Umgebung und verhindert den Zugriff auf andere Websites, Dateien und Systemprozesse.
Die LiteSpeed-Schwachstelle könnte diese Trennung durchbrechen. Laut der Sicherheitswarnung von cPanel (QuelleEin böswilliger Benutzer mit eingeschränkten Berechtigungen könnte potenziell aus der eingeschränkten Umgebung ausbrechen und Root-Zugriff erlangen.
Root-Zugriff ermöglicht die administrative Kontrolle über den Server. Ein Angreifer mit dieser Zugriffsebene könnte potenziell andere gehostete Websites einsehen oder verändern und Serverkonfigurationen modifizieren.
Die Mitteilung beschreibt die möglichen Auswirkungen, gibt aber nicht an, dass jeder betroffene Server kompromittiert wurde.
LiteSpeed 6.3.7 Build 2 enthält das erforderliche Update
Die cPanel-Empfehlung identifiziert LiteSpeed Web Server Enterprise-Versionen vor 6.3.7 und rät Administratoren, die zuvor Version 6.3.7 installiert haben, ausdrücklich, auf LiteSpeed 6.3.7 Build 2 oder höher zu aktualisieren.
LiteSpeed veröffentlichte Version 6.3.7 Build 0 am 11. September, Build 1 am 15. September und Build 2 am 16. September. Im offiziellen Changelog heißt es, dass Build 2 die lscgid-Komponente weiter gehärtet hat (Quelle).
Hosting-Anbieter und Serveradministratoren sollten die Build-Nummer überprüfen und sich nicht nur auf die Hauptversionsnummer verlassen.
Kunden von Shared Hosting sind auf das Handeln des Anbieters angewiesen.
Nutzer von Shared Hosting können den LiteSpeed-Webserver in der Regel nicht selbst aktualisieren. Der Hosting-Anbieter kontrolliert die Serversoftware, die CloudLinux-Konfiguration und das Kontotrennungssystem. Nutzer benötigen daher die Bestätigung, dass der Anbieter Folgendes gewährleistet hat:
- LiteSpeed 6.3.7 Build 2 oder höher wurde installiert.
- Der LiteSpeed-Dienst wurde nach dem Update neu gestartet.
- Die betroffenen Server wurden auf Anzeichen unberechtigten Zugriffs überprüft.
- Untersuchte unerwartete Änderungen an Konten, Dateien und administrativen Einstellungen.
- Es wurde ein Benachrichtigungsverfahren eingerichtet, falls Anzeichen einer Kompromittierung gefunden werden.
Website-Betreiber sollten außerdem ihre Administratorkonten, die Daten der Dateiänderung und die kürzlich vorgenommenen Konfigurationsänderungen überprüfen, wenn ihr Provider einen Verdacht auf Serverkompromittierung meldet.
Die potenziellen Auswirkungen reichen über ein einzelnes Hosting-Konto hinaus.
Eine Anwendungsebene (wie Joomla oder WordPressEine Schwachstelle kann sich möglicherweise auf das betroffene Hosting-Konto beschränken. Eine Schwachstelle zur Rechteausweitung auf Serverebene hingegen kann andere Konten auf demselben Server gefährden und einen deutlich größeren Schadensradius verursachen. Der erste Zugriff kann über ein legitimes oder kompromittiertes Hosting-Konto erfolgen. Gelingt es diesem Konto, aus seiner geschützten Umgebung auszubrechen, sind möglicherweise auch andere Kunden auf dem Server gefährdet.
CageFS und ähnliche Technologien sind weiterhin wertvoll, da sie Shared-Hosting-Konten im Normalbetrieb trennen. Isolationsmechanismen können jedoch keinen Schutz garantieren, wenn eine Sicherheitslücke es einem Angreifer ermöglicht, diese zu umgehen.
HostScore'Einsatz
Die LiteSpeed-Schwachstelle macht zwar nicht jeden Shared-Hosting-Dienst unsicher, aber sie unterstreicht eine entscheidende Tatsache: Die Sicherheit von Shared Hosting hängt stark von der Patch-Geschwindigkeit, der proaktiven Überwachung und den Reaktionsfähigkeiten des Anbieters im Falle von Sicherheitsvorfällen ab.
Für Websites, die eine stärkere Isolation erfordern, empfiehlt sich die Migration zu einem Virtual Private Server (VPS), dedizierten Serverden Private Cloud-Umgebung ist eine kluge Wahl. Diese Architekturen reduzieren das Risiko von Sicherheitslücken, die durch benachbarte Konten auf demselben Rechner entstehen, erheblich.
Atlantic.Net veranschaulicht diesen Unterschied wirkungsvoll. Indem es anbietet Dedizierte Server mit Root-Zugriff Durch die Bereitstellung auf physischer Hardware für Einzelnutzer stellt das Unternehmen sicher, dass die Rechenressourcen vollständig nicht geteilt werden. Atlantic.Net Kunden können zwischen verwalteten und nicht verwalteten Optionen wählen, wodurch fremde Konten vollständig aus der Betriebssystemumgebung entfernt und diese Art von mandantenübergreifendem Risiko eliminiert wird. Mehr über Atlantic.Net in unserem vollständigen Testbericht.
Dedizierte Hardware beseitigt Sicherheitsrisiken jedoch nicht vollständig. Schwachstellen im Webserver, im Control Panel, im Betriebssystem oder in Anwendungen können die Sicherheit des Systems weiterhin gefährden. Vollständiger Root-Zugriff bedeutet zudem eine größere Verantwortung des Kunden für Patches, Firewall-Konfiguration, Datensicherung, Zugriffskontrolle und Überwachung, sofern diese Aufgaben nicht von einem Managed Service abgedeckt werden.
Ein besserer Vergleich ist nicht einfach Shared Hosting versus Dedicated Hosting. Stattdessen sollten Sie Folgendes vergleichen:
- Konto- und Workload-Isolation.
- Verantwortung für Betriebssystem- und Software-Updates.
- Patch-Bereitstellungszeiten.
- Server- und Anwendungsüberwachung.
- Speicherort der Datensicherung und Verfahren zur Wiederherstellung.
- Vorfallsuntersuchung und Kundenbenachrichtigung.
- Umfassende Sicherheitsabdeckung.
Shared Hosting ist für kleinere Websites weiterhin sinnvoll, sofern ein kompetenter Anbieter den Server ordnungsgemäß verwaltet. Dedizierte Infrastruktur wird relevanter, wenn ein Unternehmen exklusive Hardware, strengere Richtlinien oder mehr Kontrolle über Patches und Zugriffsrichtlinien benötigt.
Kunden von LiteSpeed Hosting sollten sich vorerst von ihrem Anbieter die exakt installierte Version bestätigen lassen. Die Angabe „Version 6.3.7“ allein reicht nicht aus. Auf dem Server sollte Build 2 oder eine neuere, sicherheitsoptimierte Version installiert sein.
