Уязвимость, позволяющая повысить привилегии в LiteSpeed Web Server Enterprise, может дать возможность пользователю веб-сайта с низкими привилегиями получить доступ уровня root на затронутом сервере общего хостинга. Эта уязвимость может обойти средства изоляции учетных записей, включая CloudLinux CageFS.
Эта уязвимость особенно серьезна для провайдеров общего хостинга, поскольку на одном затронутом сервере могут размещаться веб-сайты, принадлежащие множеству не связанных между собой клиентов.
Уязвимость угрожает изоляции при использовании общего хостинга.
При использовании общего хостинга несколько учетных записей клиентов размещаются на одном сервере. Программное обеспечение для изоляции учетных записей ограничивает каждого клиента выделенной средой и предотвращает доступ к другим веб-сайтам, файлам и системным процессам.
Уязвимость LiteSpeed может преодолеть это разделение. Согласно рекомендациям по безопасности cPanel (источник), злонамеренный пользователь веб-сайта с низкими привилегиями потенциально может выйти за пределы ограниченной среды и получить доступ на уровне root.
Доступ с правами root обеспечивает административный контроль над сервером. Злоумышленник с таким уровнем доступа потенциально может просматривать или изменять другие размещенные веб-сайты и изменять конфигурации на уровне сервера.
В предупреждении описываются возможные последствия, но не указывается, что были скомпрометированы все затронутые серверы.
LiteSpeed 6.3.7 Сборка 2 содержит необходимое обновление.
В рекомендациях cPanel указаны версии LiteSpeed Web Server Enterprise до 6.3.7 и содержится конкретное указание администраторам, которые ранее установили версию 6.3.7, обновить ее до LiteSpeed 6.3.7 Build 2 или более поздней.
LiteSpeed выпустила сборку 6.3.7 Build 0 11 сентября, Build 1 15 сентября и Build 2 16 сентября. В официальном списке изменений говорится, что в Build 2 была дополнительно усилена защита компонента lscgid (источник).
Хостинг-провайдерам и администраторам серверов следует проверять номер сборки, а не полагаться только на основной номер версии.
Клиенты, пользующиеся услугами общего хостинга, зависят от действий провайдера.
Пользователи общего хостинга, как правило, не могут самостоятельно обновлять веб-сервер LiteSpeed. Хостинг-провайдер контролирует серверное программное обеспечение, конфигурацию CloudLinux и систему изоляции учетных записей. Поэтому пользователям необходимо подтверждение от провайдера о наличии следующих прав:
- Установлена версия LiteSpeed 6.3.7 Build 2 или более поздняя.
- После обновления сервис LiteSpeed был перезапущен.
- Проведена проверка затронутых серверов на наличие признаков несанкционированного доступа.
- Проведено расследование неожиданных изменений в учетных записях, файлах и административных настройках.
- Установлен порядок уведомления в случае обнаружения признаков компрометации.
Владельцам веб-сайтов также следует проверить свои административные учетные записи, даты изменения файлов и последние изменения конфигурации, если их провайдер сообщает о подозрении на взлом сервера.
Потенциальные последствия выходят за рамки одного хостинг-аккаунта.
На уровне приложения (например, Joomla или WordPressУязвимость может ограничиваться затронутым хостинг-аккаунтом. С другой стороны, уязвимость, позволяющая повысить привилегии на уровне сервера, может раскрыть доступ к другим аккаунтам на той же машине и создать гораздо более широкий радиус поражения. Первоначальный доступ может осуществляться через один легитимный или скомпрометированный хостинг-аккаунт. Если этот аккаунт сможет выйти за пределы своей защищенной среды, другие клиенты на сервере также могут столкнуться с угрозой.
Технологии CageFS и аналогичные им остаются ценными, поскольку они разделяют учетные записи общего хостинга во время нормальной работы. Однако средства изоляции не могут гарантировать защиту, если уязвимость позволяет злоумышленнику обойти их.
HostScoreВзять
Уязвимость LiteSpeed не делает небезопасными все сервисы общего хостинга, но она подчеркивает критически важную реальность: безопасность общего хостинга во многом зависит от скорости обновления программного обеспечения провайдера, его активного мониторинга и возможностей реагирования на инциденты.
Для веб-сайтов, требующих более строгой изоляции, переход на более строгий подход будет целесообразен. Virtual Private Server (VPS), Выделенный сервер или частная облачная среда Это разумный выбор. Такие архитектуры значительно снижают подверженность уязвимостям, возникающим из-за соседних учетных записей на одном компьютере.
Atlantic.Net эффективно иллюстрирует это различие. Предлагая выделенные серверы с корневым доступом Развернув систему на физическом оборудовании, предназначенном для одного пользователя, компания гарантирует, что вычислительные ресурсы не являются общими. Atlantic.Net Клиенты могут выбирать между управляемым и неуправляемым вариантами, что позволяет полностью исключить сторонние учетные записи из среды операционной системы и устранить этот класс рисков, связанных с межпользовательскими отношениями. Подробнее о Atlantic.Net в нашем полном обзоре.
Однако наличие выделенного оборудования не исключает рисков безопасности. Уязвимости в веб-сервере, панели управления, операционной системе или приложении по-прежнему могут поставить под угрозу безопасность машины. Полный root-доступ также накладывает на клиента большую ответственность за установку обновлений, настройку брандмауэра, резервное копирование, контроль доступа и мониторинг, если эти задачи не входят в состав управляемой услуги.
Более корректным будет сравнение не просто общего и выделенного хостинга. Вместо этого следует сравнивать:
- Изоляция учетных записей и рабочих нагрузок.
- Ответственность за обновления операционной системы и программного обеспечения.
- Время установки обновлений.
- Мониторинг серверов и приложений.
- Место хранения резервных копий и процедуры восстановления.
- Расследование инцидентов и уведомление клиентов.
- Управление обеспечением безопасности.
Общий хостинг остается практичным вариантом для небольших веб-сайтов, если компетентный провайдер надлежащим образом управляет сервером. Выделенная инфраструктура становится более актуальной, когда бизнесу требуется эксклюзивное оборудование, более жесткое управление или больший контроль над политиками обновления и доступа.
На данный момент клиентам, использующим хостинг LiteSpeed, следует обратиться к своему провайдеру с просьбой подтвердить точную установленную сборку. Одной лишь «версии 6.3.7» недостаточно. На сервере должна быть установлена сборка 2 или более поздняя версия с исправлениями безопасности.
