Uma vulnerabilidade de escalonamento de privilégios no LiteSpeed Web Server Enterprise pode permitir que um usuário com privilégios baixos obtenha acesso de nível root em um servidor de hospedagem compartilhada afetado. A falha pode contornar os controles de isolamento de conta, incluindo o CloudLinux CageFS.
A vulnerabilidade é especialmente grave para provedores de hospedagem compartilhada, pois um servidor afetado pode conter sites pertencentes a muitos clientes não relacionados.
A vulnerabilidade ameaça o isolamento da hospedagem compartilhada.
A hospedagem compartilhada coloca várias contas de clientes no mesmo servidor. O software de isolamento de contas restringe cada cliente a um ambiente atribuído e impede o acesso a outros sites, arquivos e processos do sistema.
A vulnerabilidade do LiteSpeed poderia romper essa separação. De acordo com o aviso de segurança do cPanel (fonte), um usuário malicioso com privilégios limitados em um site poderia potencialmente escapar do ambiente restrito e obter acesso de nível root.
O acesso root fornece controle administrativo sobre o servidor. Um invasor com esse nível de acesso poderia potencialmente visualizar ou modificar outros sites hospedados e alterar as configurações do servidor.
O comunicado descreve o possível impacto, mas não afirma que todos os servidores afetados foram comprometidos.
O LiteSpeed 6.3.7 Build 2 contém a atualização necessária.
O aviso do cPanel identifica versões do LiteSpeed Web Server Enterprise anteriores à 6.3.7 e recomenda especificamente que os administradores que instalaram a versão 6.3.7 anteriormente atualizem para o LiteSpeed 6.3.7 Build 2 ou posterior.
O LiteSpeed lançou a versão 6.3.7 Build 0 em 11 de setembro, a Build 1 em 15 de setembro e a Build 2 em 16 de setembro. Seu changelog oficial afirma que a Build 2 reforçou ainda mais o componente lscgid (fonte).
Os provedores de hospedagem e administradores de servidores devem confirmar o número da compilação em vez de confiar apenas no número da versão principal.
Clientes de hospedagem compartilhada dependem da ação do provedor.
Usuários de hospedagem compartilhada geralmente não podem atualizar o servidor web LiteSpeed por conta própria. O provedor de hospedagem controla o software do servidor, a configuração do CloudLinux e o sistema de isolamento de contas. Portanto, os usuários precisam confirmar se o provedor possui:
- Instale o LiteSpeed 6.3.7 Build 2 ou posterior.
- Reiniciei o serviço LiteSpeed após a atualização.
- Analisamos os servidores afetados em busca de indícios de acesso não autorizado.
- Investigou alterações inesperadas em contas, arquivos e configurações administrativas.
- Estabelecemos um processo de notificação para o caso de serem encontradas evidências de comprometimento.
Os proprietários de sites também devem revisar suas contas de administrador, datas de modificação de arquivos e alterações de configuração recentes caso seu provedor relate uma suspeita de comprometimento do servidor.
O impacto potencial vai além de uma única conta de hospedagem.
Um nível de aplicação (como Joomla ou WordPressUma vulnerabilidade pode ser limitada à conta de hospedagem afetada. Uma falha de escalonamento de privilégios em nível de servidor, por outro lado, pode expor outras contas na mesma máquina e criar um raio de impacto muito maior. O acesso inicial pode vir por meio de uma conta de hospedagem legítima ou comprometida. Se essa conta conseguir escapar do ambiente restrito, outros clientes no servidor também poderão ficar expostos.
O CageFS e tecnologias similares continuam sendo valiosas porque separam as contas de hospedagem compartilhada durante a operação normal. No entanto, os controles de isolamento não garantem proteção quando uma vulnerabilidade permite que um invasor os contorne.
HostScore'estaca
A vulnerabilidade do LiteSpeed não torna todos os serviços de hospedagem compartilhada inseguros, mas ressalta uma realidade crítica: a segurança da hospedagem compartilhada depende muito da velocidade de aplicação de patches, do monitoramento proativo e da capacidade de resposta a incidentes do provedor.
Para sites que exigem maior isolamento, migrar para um Virtual Private Server (VPS), servidor dedicado, ou ambiente de nuvem privada É uma escolha prudente. Essas arquiteturas reduzem significativamente a exposição a vulnerabilidades decorrentes de contas adjacentes na mesma máquina.
Atlantic.Net ilustra essa distinção de forma eficaz. Ao oferecer servidores dedicados com acesso root Ao implantar a infraestrutura em hardware físico de um único inquilino, a empresa garante que os recursos computacionais sejam totalmente exclusivos. Atlantic.Net Os clientes podem escolher entre opções gerenciadas e não gerenciadas, removendo completamente as contas externas do ambiente do sistema operacional e eliminando esse tipo de risco entre locatários. Mais informações sobre Atlantic.Net em nossa revisão completa.
No entanto, hardware dedicado não elimina os riscos de segurança. Vulnerabilidades no servidor web, painel de controle, sistema operacional ou aplicativo ainda podem comprometer a máquina. O acesso root completo também confere ao cliente maior responsabilidade pela aplicação de patches, configuração do firewall, backups, controle de acesso e monitoramento, a menos que essas tarefas sejam cobertas por um serviço gerenciado.
A comparação mais adequada não é simplesmente entre hospedagem compartilhada e hospedagem dedicada. Em vez disso, você deve comparar:
- Isolamento de contas e cargas de trabalho.
- Responsabilidade pelas atualizações do sistema operacional e do software.
- Tempos de implantação de patches.
- Monitoramento de servidores e aplicativos.
- Localização de backup e procedimentos de restauração.
- Investigação de incidentes e notificação ao cliente.
- Cobertura de segurança gerenciada.
A hospedagem compartilhada continua sendo uma opção prática para sites menores quando um provedor competente gerencia o servidor adequadamente. A infraestrutura dedicada torna-se mais relevante quando uma empresa precisa de hardware exclusivo, governança mais rigorosa ou maior controle sobre as políticas de aplicação de patches e acesso.
Por enquanto, os clientes que utilizam a hospedagem LiteSpeed devem solicitar ao seu provedor a confirmação da versão exata instalada. Apenas a informação "Versão 6.3.7" não é suficiente. O servidor deve estar executando a Build 2 ou uma versão posterior com correções de segurança.
