Alertas de seguridad

Vulnerabilidad en la interfaz Cron Jobs en cPanel

cPanel es un panel de control para administrar servidores de alojamiento web que proveen herramientas de automatización y una interfaz gráfica basada en páginas web. Este software cuenta con un diseño en tres capas que entrega distintos atributos a administradores y usuarios finales. Estos atributos permiten controlar diversos aspectos de los servidores y servicios entregados a los clientes externos.

Este software de tipo propietario se ha desarrollado para ser compatible con la mayoría de las distribuciones de Linux que usen RPM como gestor de paquetes. Fue concebido para ser un software instalado en un servidor dedicado o servidor virtual, y debido al grado de integración que posee el software con el sistema operativo, los desarrolladores no recomiendan la desinstalación del programa sino formatear el servidor.

cPanel en versiones anteriores a 90.0.10, permite un ataque de tipo auto-XSS por medio de la interfaz Cron Jobs (SEC-573). Este fallo es ocasionado por la neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting); afecta parcialmente a la integridad del sistema y no requiere autenticación para explotar este fallo.

Esta vulnerabilidad clasificada en severidad media, fue encontrada en cPanel hasta 90.0.9 (Hosting Control Software). Una función desconocida del componente Cron Jobs interface es afectado por esta vulnerabilidad. Por la manipulación de un input desconocido se genera un ataque de tipo cross site scripting. Esto tiene repercusión sobre la integridad, la vulnerabilidad fue publicada el 2020-09-25 e identificada como CVE-2020-26114. El ataque puede ejecutarse desde la red y no se conoce los detalles técnicos ni hay ningún exploit disponible.

 Acciones recomendadas

  • Una actualización a la versión 90.0.10 elimina esta vulnerabilidad.
  • A través de su portal oficial, CPanel recomienda corregir este fallo lo antes posible mediante las actualizaciones de seguridad disponibles en: https://docs.cpanel.net/changelogs/90-change-log/