Plesk / cPanel

In der Oberfläche Manage SSL Hosts von WHM besteht eine Stored-XSS-Schwachstelle, die die Ausführung beliebigen Codes ermöglicht. CVSS-Basiswert: 9.0 (Kritisch), Vektor CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H, ausnutzbar über das Netzwerk mit niedrigen Rechten und Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Massnahmen sind in den Quelldaten nicht genannt; Herstellerhinweise zu Updates sind zu prüfen.

In der Oberfläche Mass Modify Accounts von WHM besteht eine Stored-XSS-Schwachstelle, die die Ausführung beliebigen Codes erlaubt. CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betreiber von WHM bzw. Plesk/cPanel sollten verfügbare Updates des Herstellers einspielen.

In der Plesk XML-RPC API erlaubt eine unzureichende Eingabebereinigung (Improper Neutralization) einem entfernten authentifizierten Angreifer mit niedrigen Rechten eine SQL-Injection und das Auslesen beliebiger Daten aus der Plesk-Datenbank, was zur vollständigen Kompromittierung führen kann. CVSS-Basiswert: 9.9 (Kritisch).

In der XML-RPC-API von Plesk erlaubt eine fehlerhafte Rechteverwaltung einem authentifizierten Reseller, eine administrative Sitzung für das Root-Benutzerkonto zu erlangen. Betroffen sind Plesk-Versionen vor 18.0.80. CVSS-Basiswert: 9.9 (Kritisch).

Eine Pfadtraversierung in Plesks Backup Manager ermöglicht einem authentifizierten Kunden das Schreiben beliebiger Dateien mit Root-Rechten. Betroffen sind laut Zuordnung Produkte der Hersteller WebPros und NAKIVO. CVSS-Basiswert: 9.9 (Kritisch).

In Plesk besteht eine Time-of-check-Time-of-use-Schwachstelle (TOCTOU), die zu unsicherem Symlink-Following führt. Ein lokaler Angreifer kann dadurch beliebiges Datei- oder Verzeichnis-Eigentum übernehmen und seine Rechte bis auf Root ausweiten. CVSS-Basiswert: 9.9 (Kritisch). Es liegt kein Eintrag im CISA-KEV-Katalog vor und kein Hinweis auf Einsatz in Ransomware-Kampagnen.

Eine SQL-Injection-Schwachstelle in der EmailTrack-Komponente von cPanel erlaubt es einem E-Mail-aktivierten Konto, über die Lücke beliebigen Code mit Root-Rechten aus der Ferne auszuführen. CVSS-Basiswert: 9.9 (Kritisch). Betroffen sind laut Quellenlage zudem Produkte von SimpleHelp Ltd und Light Code Labs.

Plesk 18.0 weist eine fehlerhafte Zugriffskontrolle (Incorrect Access Control) auf. CVSS-Basiswert: 9.1 (Kritisch).

Eine Schwachstelle durch unzureichend geschützte Zugangsdaten in LiteSpeed Technologies LiteSpeed Cache erlaubt eine Authentifizierungsumgehung. Betroffen ist LiteSpeed Cache bis vor Version 6.5.0.1. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf LiteSpeed Cache 6.5.0.1 einspielen.

In LiteSpeed Cache von LiteSpeed Technologies besteht eine Schwachstelle durch falsche Rechtevergabe (Incorrect Privilege Assignment). Betroffen sind Versionen bis einschliesslich 6.3.0.1. CVSS-Basiswert: 9.8 (Kritisch). Laut manuell erfassten Meldungen (reddit:r/netsec, r/blueteamsec) wurde die Lücke bei einer Intrusion gegen einen Marine-Zulieferer aktiv ausgenutzt: Die Angreifer setzten eine eigene Go-Nachbildung des Zufallszahlengenerators MT19937 mit PHP-mt_rand()-Parität ein, verifiziert gegen elf bekannte Seed/Output-Paare, kombiniert mit einer XML-RPC-Brute-Force-Attacke unter Verwendung von rockyou.txt. Empfohlene Massnahme laut Quelle: /xmlrpc.php deaktivieren, sofern nicht benötigt, oder den Zugriff einschränken. Laut ergänzendem Fund von Hunt.io (reddit:r/Malware) lag diese Go-Implementierung des Exploits in einem offenen Verzeichnis neben den Werkzeugen Sliver, Metasploit und Mettle, im Kontext einer mutmasslich chinesischsprachigen Operation gegen eine philippinische Nuklearbehörde und einen Marine-Zulieferer.

Das Perl-Paket Cpanel::JSON::XS vor Version 4.33 führt Out-of-bounds-Zugriffe auf eine Weise durch, die es Angreifern erlaubt, an sensible Informationen zu gelangen oder einen Denial of Service auszulösen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Cpanel::JSON::XS 4.33 oder neuer aktualisieren.

Plesk Obsidian in den Versionen 8.0.1 bis 18.0.73 ist anfällig für einen Denial-of-Service-Zustand. Die Schwachstelle liegt im Endpunkt get_password.php: Eine präparierte Anfrage mit bösartiger Nutzlast kann die betroffene Weboberfläche zum fortlaufenden Neuladen bringen und den Dienst für legitime Nutzer unerreichbar machen. Ein Angreifer kann dies aus der Ferne und ohne Authentifizierung ausnutzen, mit dauerhafter Beeinträchtigung der Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

OpenLiteSpeed und LSWS Enterprise von LiteSpeed Technologies enthalten eine OS-Command-Injection-Schwachstelle. Ein Angreifer mit administrativen Rechten kann darüber beliebige Betriebssystembefehle auf dem Server ausführen. CVSS-Basiswert: 7.2 (Hoch).

In cPanel 110 bis 132 wurde laut NVD eine Directory-Traversal-Schwachstelle in der Team Manager API entdeckt, die das Überschreiben einer beliebigen Datei erlaubt. Dies kann zur Rechteausweitung bis zum root-Nutzer führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die betroffene Software auf eine korrigierte Version aktualisieren.

Eine fehlerhafte Rechtezuweisung im Plugin LiteSpeed Cache von LiteSpeed Technologies ermöglicht eine Rechteausweitung. Betroffen sind Versionen bis einschliesslich 6.5.1. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version von LiteSpeed Cache aktualisieren.

Das LiteSpeed-Cache-Plugin von LiteSpeed Technologies (litespeed-cache) enthält eine Schwachstelle für relative Pfad-Traversal (Path Traversal). Betroffen sind alle Versionen bis einschliesslich 6.4.1. Ein Angreifer kann die Lücke nutzen, um auf Dateien ausserhalb des vorgesehenen Verzeichnisses zuzugreifen. CVSS-Basiswert: 8.8 (Hoch).

Im WordPress-Plugin LiteSpeed Cache von LiteSpeed Technologies besteht bis einschliesslich Version 6.5.0.2 eine Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten, die gespeichertes Cross-Site-Scripting (Stored XSS) ermöglicht. CVSS-Basiswert: 7.1 (Hoch).

In LiteSpeed Technologies LiteSpeed Cache besteht eine Schwachstelle durch unzureichende Bereinigung von Eingaben bei der Seitengenerierung (Cross-Site Scripting), die gespeichertes (Stored) XSS ermöglicht. Betroffen sind Versionen von n/a bis einschliesslich 5.7. CVSS-Basiswert: 8.3 (Hoch).

Im WordPress-Plugin LiteSpeed Cache von LiteSpeed Technologies besteht eine Schwachstelle durch fehlende Autorisierungsprüfung. Betroffen sind alle Versionen bis einschliesslich 5.7. CVSS-Basiswert: 8.2 (Hoch).

Plesk Onyx 17.8.11 verfügt laut Quelle über accessKeyId- und secretAccessKey-Felder im Zusammenhang mit einer Amazon-AWS-Firehose-Komponente. Der Hersteller vertritt die Position, dass hierin keine Sicherheitsbedrohung liegt. CVSS-Basiswert: 7.5 (Hoch).

Plesk 17.0 bis 18.0.31 ist anfällig für Cross-Site-Scripting. Ein böswilliger Abonnement-Inhaber (entweder ein Kunde oder ein zusätzlicher Benutzer) kann den Server vollständig kompromittieren, wenn ein Administrator eine bestimmte, mit dem böswilligen Abonnement verbundene Seite in Plesk aufruft. CVSS-Basiswert: 8.8 (Hoch).

In cPanel wird laut NVD der SQL-Modus beim Umbenennen von Datenbanken nicht korrekt beibehalten. Dies ermöglicht die Ausführung von SQL-Anweisungen im Root-Kontext. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Eine HTTP-Smuggling-Schwachstelle in cPanel ermöglicht laut Quellbeschreibung ein potenzielles Auslesen von Zugangsdaten. Betroffen ist die cPanel-Plattform des Herstellers WebPros. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere vorläufig als Mittel eingestuft.