Lỗ hổng LiteSpeed Enterprise có thể cho phép nâng quyền root trên máy chủ dùng chung
"A critical flaw in LiteSpeed Web Server Enterprise could allow a low-privilege hosting account on a shared server to escalate privileges and gain root access, potentially affecting other tenants and the host system. The issue affects versions before 6.3.7; LiteSpeed and cPanel advise manual updating to 6.3.7, and no CVE, severity score, workaround, or exploitation status was publicly provided in the advisory."
Nguy cơ leo thang đặc quyền lên root trên máy chủ dùng chung; có thể dẫn đến truy cập trái phép và ảnh hưởng đến nhiều website/tenant.
Có thể gây gián đoạn dịch vụ hosting, tăng rủi ro xâm phạm dữ liệu và phát sinh nhu cầu vá khẩn cấp trên hạ tầng dùng chung.
cPanel đã cảnh báo về một lỗ hổng nghiêm trọng trong LiteSpeed Web Server Enterprise có thể cho phép một tài khoản hosting quyền thấp trên máy chủ dùng chung leo thang đặc quyền lên root. Trong môi trường shared hosting, điều này có thể ảnh hưởng không chỉ đến một website mà còn đến các tenant khác và cả hệ thống máy chủ.
Theo thông báo, lỗi ảnh hưởng đến các phiên bản trước 6.3.7. LiteSpeed đã phát hành 6.3.7 vào ngày 11/9 và cPanel khuyến nghị quản trị viên cập nhật thủ công bằng lệnh: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7.
Thông báo hiện không có CVE, không công bố điểm đánh giá mức độ, cũng không nêu rõ cách khai thác, dấu hiệu xâm nhập hay biện pháp thay thế tạm thời. LiteSpeed cho biết bản cập nhật có thể chưa đến ngay qua cơ chế auto-update, vì vậy việc cập nhật thủ công là cần thiết trong ngắn hạn.
Quản trị viên nên ưu tiên vá ngay, kiểm tra trạng thái phiên bản 6.3.7, và theo dõi thêm thông tin từ LiteSpeed, cPanel và CloudLinux về phạm vi ảnh hưởng, đặc biệt với các hệ thống shared hosting và cấu hình có CageFS.