Une vulnérabilité d'élévation de privilèges dans LiteSpeed Web Server Enterprise pourrait permettre à un utilisateur disposant de privilèges limités d'obtenir un accès root sur un serveur d'hébergement mutualisé vulnérable. Cette faille pourrait contourner les contrôles d'isolation des comptes, notamment CloudLinux CageFS.
Cette vulnérabilité est particulièrement grave pour les fournisseurs d'hébergement mutualisé, car un serveur affecté peut contenir des sites web appartenant à de nombreux clients sans lien entre eux.
Cette vulnérabilité menace l'isolation des hébergements mutualisés.
L'hébergement mutualisé répartit les comptes clients sur un même serveur. Un logiciel d'isolation des comptes restreint chaque client à un environnement dédié et empêche l'accès aux autres sites web, fichiers et processus système.
La vulnérabilité LiteSpeed pourrait permettre de franchir cette séparation. Selon l'avis de sécurité de cPanel (source), un utilisateur malveillant d'un site web disposant de faibles privilèges pourrait potentiellement s'échapper de l'environnement restreint et obtenir un accès de niveau racine.
L'accès root confère un contrôle administratif sur le serveur. Un attaquant disposant de ce niveau d'accès pourrait potentiellement consulter ou modifier d'autres sites web hébergés et modifier la configuration du serveur.
L'avis décrit l'impact possible, mais ne précise pas que tous les serveurs concernés ont été compromis.
LiteSpeed 6.3.7 Build 2 contient la mise à jour requise
L'avis de cPanel identifie les versions de LiteSpeed Web Server Enterprise antérieures à 6.3.7 et conseille spécifiquement aux administrateurs qui ont précédemment installé la version 6.3.7 de mettre à jour à nouveau vers LiteSpeed 6.3.7 Build 2 ou une version ultérieure.
LiteSpeed a publié la version 6.3.7 Build 0 le 11 septembre, la Build 1 le 15 septembre et la Build 2 le 16 septembre. Son journal des modifications officiel indique que la Build 2 a encore renforcé le composant lscgid (source).
Les fournisseurs d'hébergement et les administrateurs de serveurs doivent vérifier le numéro de build plutôt que de se fier uniquement au numéro de version principal.
Les clients d'hébergement mutualisé dépendent des actions du fournisseur
Les utilisateurs d'hébergement mutualisé ne peuvent généralement pas mettre à jour eux-mêmes le serveur web LiteSpeed. Le fournisseur d'hébergement contrôle le logiciel serveur, la configuration CloudLinux et le système d'isolation des comptes. Les utilisateurs doivent donc s'assurer que le fournisseur dispose des éléments suivants :
- LiteSpeed 6.3.7 Build 2 ou version ultérieure est installé.
- J'ai redémarré le service LiteSpeed après la mise à jour.
- Nous avons examiné les serveurs concernés afin de déceler tout signe d'accès non autorisé.
- Nous avons enquêté sur les modifications inattendues apportées aux comptes, aux fichiers et aux paramètres administratifs.
- Un processus de notification a été mis en place en cas de découverte de preuves de compromission.
Les propriétaires de sites web doivent également vérifier leurs comptes d'administrateur, les dates de modification des fichiers et les changements de configuration récents si leur fournisseur signale une suspicion de compromission du serveur.
L'impact potentiel s'étend au-delà d'un seul compte d'hébergement.
Une application au niveau applicatif (comme Joomla ou WordPressUne vulnérabilité peut se limiter au compte d'hébergement concerné. En revanche, une faille d'élévation de privilèges au niveau du serveur peut exposer d'autres comptes sur la même machine et avoir un impact beaucoup plus important. L'accès initial peut provenir d'un compte d'hébergement légitime ou compromis. Si ce compte parvient à s'échapper de son environnement restreint, d'autres clients du serveur peuvent également être exposés.
CageFS et les technologies similaires restent précieuses car elles isolent les comptes d'hébergement mutualisé en fonctionnement normal. Cependant, les mesures d'isolation ne peuvent garantir une protection absolue lorsqu'une vulnérabilité permet à un attaquant de les contourner.
HostScore'pieu
La vulnérabilité de LiteSpeed ne rend pas tous les services d'hébergement partagé non sécurisés, mais elle souligne une réalité cruciale : la sécurité de l'hébergement partagé repose en grande partie sur la rapidité avec laquelle un fournisseur déploie des correctifs, sur sa surveillance proactive et sur ses capacités de réponse aux incidents.
Pour les sites web nécessitant une isolation plus forte, la migration vers un Virtual Private Server (VPS), serveur dédié, environnement de cloud privé Il s'agit d'un choix judicieux. Ces architectures réduisent considérablement l'exposition aux vulnérabilités liées aux comptes adjacents sur la même machine.
Atlantic.Net illustre efficacement cette distinction. En offrant serveurs dédiés avec accès root Déployée sur du matériel physique dédié à un seul utilisateur, l'entreprise garantit que les ressources informatiques ne sont absolument pas partagées. Atlantic.Net Les clients peuvent choisir entre des options gérées et non gérées, ce qui supprime entièrement les comptes étrangers de l'environnement du système d'exploitation et élimine ce type de risque inter-locataires. Plus d'informations sur Atlantic.Net dans notre examen complet.
Cependant, un matériel dédié ne supprime pas les risques de sécurité. Des vulnérabilités au niveau du serveur web, du panneau de contrôle, du système d'exploitation ou des applications peuvent toujours compromettre la machine. De plus, un accès root complet confère au client une plus grande responsabilité en matière de correctifs, de configuration du pare-feu, de sauvegardes, de contrôle d'accès et de surveillance, sauf si ces tâches sont prises en charge par un service géré.
La comparaison la plus pertinente n'est pas simplement celle entre hébergement mutualisé et hébergement dédié. Il faut plutôt comparer :
- Isolation des comptes et des charges de travail.
- Responsabilité des mises à jour du système d'exploitation et des logiciels.
- Délais de déploiement des correctifs.
- Surveillance des serveurs et des applications.
- Emplacement de sauvegarde et procédures de restauration.
- Enquête sur l'incident et notification du client.
- Couverture de sécurité gérée.
L'hébergement mutualisé reste une solution pratique pour les petits sites web lorsqu'un fournisseur compétent gère correctement le serveur. L'infrastructure dédiée prend tout son sens lorsqu'une entreprise a besoin de matériel exclusif, d'une gouvernance plus stricte ou d'un contrôle accru sur les mises à jour et les politiques d'accès.
Pour l'instant, les clients utilisant l'hébergement LiteSpeed doivent demander à leur fournisseur de confirmer la version exacte installée. La mention « Version 6.3.7 » ne suffit pas. Le serveur doit exécuter la version 2 ou une version ultérieure intégrant des correctifs de sécurité.
