Más de 70 millones de sitios se gestionan a través del software cPanel, según la compañía.
Los investigadores de seguridad han descubierto un fallo de seguridad importante en cPanel, una suite de software popular utilizado por las empresas de alojamiento web para gestionar sitios web para sus clientes.
El error, descubierto por los investigadores de seguridad de Digital Defense, permite a los atacantes eludir la autenticación de dos factores (2FA) para las cuentas cPanel.
Estos propietarios de sitios web utilizan estas cuentas para acceder y administrar sus sitios web y la configuración del servidor subyacente. El acceso a estas cuentas es fundamental, ya que una vez comprometidas, otorgan a los actores de amenazas un control total sobre el sitio de una víctima.
En su sitio web, cPanel se jacta de que su software es utilizado actualmente por cientos de empresas de alojamiento web para gestionar más de 70 millones de dominios en todo el mundo.
Pero en un comunicado de prensa hoy, Digital Defense dice que la implementación de 2FA en el software cPanel & WebHost Manager (WHM) anterior era vulnerable a ataques de fuerza bruta que permitían a los actores de amenazas adivinar parámetros de URL y omitir 2FA, si 2FA estaba habilitado para una cuenta.
Mientras que los ataques de fuerza bruta, en general, por lo general tardan horas o días en ejecutarse, en este caso en particular, el ataque requirió sólo unos minutos, dijo hoy Defensa Digital.
La explotación de este error también requiere que los atacantes tengan credenciales válidas para una cuenta de destino, pero estas se pueden obtener del phishing del propietario del sitio web.
Si bien esto podría hacer que algunos propietarios de sitios web piensen que el error no es importante, en realidad es lo contrario ya que las soluciones 2FA se inventaron en primer lugar para proteger contra el uso de credenciales de phished, y, como resultado, cualquier bypass 2FA como este error necesita ser tratado con la máxima urgencia y atención.
La buena noticia es que Digital Defense ha informado de forma privada el error, rastreado como SEC-575, al equipo de cPanel, que ya ha lanzado parches la semana pasada.
Los propietarios de sitios web que usan 2FA en su inicio de sesión cPanel pueden ver si su proveedor de alojamiento web ha implementado la actualización en su instalación de cPanel comprobando el número de versión de la plataforma.
Según el aviso de seguridad de cPanel, el problema de omisión 2FA se ha parcheado en el software cPanel & WHM 11.92.0.2, 11.90.0.17 y 11.86.0.32.
Los usuarios no deben deshabilitar 2FA para sus cuentas cPanel debido a este error, sino que deben solicitar que sus proveedores de hospedaje web actualicen la instalación de cPanel a la versión más reciente.
Un portavoz de cPanel no estaba disponible inmediatamente para el comentario.
