شرکت cPanel در تاریخ ۲۲ سپتامبر اعلام کرد که یک نقص امنیتی جدی در سرویس‌های CalDAV و CardDAV این پلتفرم شناسایی شده است. این آسیب‌پذیری به هر کاربری که دارای یک حساب میزبانی (Hosting Account) در cPanel باشد، اجازه می‌دهد تا کد را با دسترسی Root اجرا کرده و کنترل کامل سرور را در اختیار بگیرد.
جزئیات آسیب‌پذیری‌های شناسایی شده
علاوه بر نقص امنیتی مذکور، دو باگ دیگر نیز در این پلتفرم شناسایی و گزارش شده است:
- نقص در WP Toolkit: این افزونه که برای نصب و مدیریت سایت‌های وردپرس استفاده می‌شود، دارای باگی است که به دارندگان حساب اجازه می‌دهد دیتابیس‌های متعلق به سایر حساب‌های کاربری را تغییر دهند.
- نقص در سرویس ذخیره‌سازی تقویم و مخاطبین: یک آسیب‌پذیری محلی (Local) شناسایی شده که به کاربران اجازه می‌دهد رویدادهای تقویم و مخاطبین سایر حساب‌ها را بخوانند، هرچند این دسترسی شامل تغییر داده‌ها یا دستیابی به سطح Root نمی‌شود.
تاثیر بر محیط‌های Shared Hosting
یکی از خطرناک‌ترین جنبه‌های این نقص امنیتی، عدم نیاز به پیش‌نیازهای خاص است؛ تنها داشتن یک حساب کاربری برای بهره‌برداری از این باگ کافی است. در سرورهای اشتراکی (Shared Servers) که ارائه‌دهندگان میزبانی حساب‌ها را به عموم می‌فروشند، هر مشتری یا هر شخصی که بتواند به اطلاعات ورود یک کاربر دست یابد، می‌تواند از این طریق کنترل کامل سرور را به دست بگیرد.
وضعیت اصلاحیه و به‌روزرسانی
شرکت cPanel نسخه‌های اصلاح شده برای هر سه مورد را منتشر کرده است. لازم به ذکر است که WP Toolkit به عنوان یک بسته مجزا با نام wp-toolkit-cpanel نصب می‌شود و باید به‌طور جداگانه به‌روزرسانی گردد. همچنین، آسیب‌پذیری‌های مربوط به تقویم، نسخه‌های ۱۲۰ و بالاتر را تحت تاثیر قرار داده‌اند و اصلاحات برای خطوط ریلیز ۱۳۴، ۱۳۶، ۱۳۸ و WP Squared ارائه شده است.
تحلیل فنی و رصد تهدیدات
تاکنون هیچ گزارشی مبنی بر بهره‌برداری فعال (Exploitation) از این آسیب‌پذیری‌ها در محیط واقعی منتشر نشده و این موارد در کاتالوگ آسیب‌پذیری‌های شناخته شده CISA نیز ثبت نشده‌اند. این نقص‌ها توسط پژوهشگری به نام Ali Mustafa (با نام کاربری rz1027) کشف شده‌اند که اخیراً چندین باگ دیگر در cPanel و Plesk را نیز شناسایی کرده است.
