Kerentanan peningkatan hak akses pada LiteSpeed Web Server Enterprise dapat memungkinkan pengguna situs web dengan hak akses rendah untuk mendapatkan akses tingkat root pada server hosting bersama yang terpengaruh. Cacat ini dapat melewati kontrol isolasi akun, termasuk CloudLinux CageFS.
Kerentanan ini sangat serius bagi penyedia shared hosting karena satu server yang terpengaruh dapat berisi situs web milik banyak pelanggan yang tidak saling terkait.
Kerentanan Ini Mengancam Isolasi Shared Hosting
Shared hosting menempatkan beberapa akun pelanggan pada server yang sama. Perangkat lunak isolasi akun membatasi setiap pelanggan pada lingkungan yang ditugaskan dan mencegah akses ke situs web, file, dan proses sistem lainnya.
Kerentanan LiteSpeed dapat menembus pemisahan tersebut. Menurut pemberitahuan keamanan cPanel (sumber), pengguna situs web dengan hak akses rendah yang berniat jahat berpotensi lolos dari lingkungan yang dibatasi dan memperoleh akses tingkat root.
Akses root memberikan kendali administratif atas server. Penyerang dengan tingkat akses tersebut berpotensi dapat melihat atau memodifikasi situs web lain yang dihosting dan mengubah konfigurasi tingkat server.
Peringatan tersebut menjelaskan dampak yang mungkin terjadi tetapi tidak menyatakan bahwa setiap server yang terpengaruh telah disusupi.
LiteSpeed 6.3.7 Build 2 Berisi Pembaruan yang Diperlukan
Pemberitahuan cPanel mengidentifikasi versi LiteSpeed Web Server Enterprise sebelum 6.3.7 dan secara khusus menyarankan administrator yang sebelumnya menginstal 6.3.7 untuk memperbarui kembali ke LiteSpeed 6.3.7 Build 2 atau yang lebih baru.
LiteSpeed merilis 6.3.7 Build 0 pada 11 September, Build 1 pada 15 September, dan Build 2 pada 16 September. Changelog resminya menyatakan bahwa Build 2 lebih memperkuat komponen lscgid (sumber).
Penyedia hosting dan administrator server harus mengkonfirmasi nomor build daripada hanya mengandalkan nomor versi utama.
Pelanggan Shared Hosting Bergantung pada Tindakan Penyedia Layanan
Pengguna shared hosting umumnya tidak dapat memperbarui server web LiteSpeed sendiri. Penyedia hosting mengontrol perangkat lunak server, konfigurasi CloudLinux, dan sistem isolasi akun. Oleh karena itu, pengguna memerlukan konfirmasi bahwa penyedia memiliki:
- LiteSpeed 6.3.7 Build 2 atau versi yang lebih baru sudah terpasang.
- Layanan LiteSpeed telah dimulai ulang setelah pembaruan.
- Meninjau server yang terdampak untuk mencari tanda-tanda akses tidak sah.
- Menyelidiki perubahan tak terduga pada akun, file, dan pengaturan administratif.
- Menetapkan proses pemberitahuan jika ditemukan bukti adanya pelanggaran keamanan.
Pemilik situs web juga harus meninjau akun administrator mereka, tanggal modifikasi file, dan perubahan konfigurasi terbaru jika penyedia layanan mereka melaporkan dugaan peretasan server.
Potensi Dampaknya Meluas Lebih dari Sekadar Satu Akun Hosting
Tingkat aplikasi (seperti Joomla atau WordPressKerentanan tersebut mungkin terbatas pada akun hosting yang terpengaruh. Sebaliknya, celah peningkatan hak akses tingkat server dapat mengekspos akun lain pada mesin yang sama dan menciptakan dampak yang jauh lebih luas. Akses awal dapat datang melalui satu akun hosting yang sah atau yang telah disusupi. Jika akun tersebut dapat lolos dari lingkungan yang dibatasi, pelanggan lain di server tersebut juga dapat menghadapi risiko kerentanan.
CageFS dan teknologi serupa tetap berharga karena memisahkan akun shared hosting selama operasi normal. Namun, kontrol isolasi tidak dapat menjamin perlindungan ketika kerentanan memungkinkan penyerang untuk melewatinya.
HostScore'mempertaruhkan
Kerentanan LiteSpeed tidak membuat setiap layanan shared hosting menjadi tidak aman, tetapi hal ini menggarisbawahi realitas penting: keamanan shared hosting sangat bergantung pada kecepatan patching penyedia layanan, pemantauan proaktif, dan kemampuan respons insiden.
Untuk situs web yang membutuhkan isolasi lebih kuat, migrasi ke Virtual Private Server (VPS), dedicated server, atau lingkungan cloud pribadi Ini adalah pilihan yang bijaksana. Arsitektur ini secara signifikan mengurangi paparan terhadap kerentanan yang muncul dari akun yang berdekatan pada mesin yang sama.
Atlantic.Net menggambarkan perbedaan ini secara efektif. Dengan menawarkan server khusus akses root Diterapkan pada perangkat keras fisik single-tenant, perusahaan memastikan bahwa sumber daya komputasi sepenuhnya tidak dibagi. Atlantic.Net Pelanggan dapat memilih antara opsi terkelola dan tidak terkelola, yang sepenuhnya menghapus akun asing dari lingkungan sistem operasi dan menghilangkan risiko lintas penyewa jenis ini. Lebih lanjut tentang Atlantic.Net di ulasan lengkap kami.
Namun, perangkat keras khusus tidak menghilangkan risiko keamanan. Kerentanan pada server web, panel kontrol, sistem operasi, atau aplikasi masih dapat membahayakan mesin. Akses root penuh juga memberikan tanggung jawab yang lebih besar kepada pelanggan untuk melakukan patching, konfigurasi firewall, pencadangan, kontrol akses, dan pemantauan kecuali tugas-tugas ini ditangani oleh layanan terkelola.
Perbandingan yang lebih tepat bukanlah sekadar shared hosting versus dedicated hosting. Sebaliknya, Anda harus membandingkan:
- Isolasi akun dan beban kerja.
- Bertanggung jawab atas pembaruan sistem operasi dan perangkat lunak.
- Waktu penerapan patch.
- Pemantauan server dan aplikasi.
- Lokasi pencadangan dan prosedur pemulihan.
- Investigasi insiden dan pemberitahuan kepada pelanggan.
- Pengelolaan cakupan keamanan.
Shared hosting tetap praktis untuk situs web yang lebih kecil jika penyedia yang kompeten mengelola server dengan benar. Infrastruktur dedicated menjadi lebih relevan ketika bisnis membutuhkan perangkat keras eksklusif, tata kelola yang lebih ketat, atau kontrol yang lebih besar atas kebijakan patching dan akses.
Untuk saat ini, pelanggan yang menggunakan hosting LiteSpeed harus meminta penyedia layanan mereka untuk mengkonfirmasi versi build yang terpasang. Hanya "Versi 6.3.7" saja tidak cukup. Server harus menjalankan Build 2 atau rilis perbaikan keamanan yang lebih baru.
