🛡️ KI-Sicherheitstool-Modul
CVE-2026-41940: cPanel & WHM nicht authentifizierte Root-RCE (CRLF-Session-Injection)

Offizielles Sicherheitsaudit- & Exploitation-Modul für das KI-Sicherheitstool-Ökosystem

---

🌐 Web-Demo • 📚 Projekt-Website • 💬 Community-Chat

Website-Navigation: Startseite • Updates • Downloads • Module

---

🧠 Konzeptioneller Überblick

Dieses Modul bietet umfassende Diagnosewerkzeuge und technische Bewertungsroutinen für CVE-2026-41940, eine kritische nicht authentifizierte Authentifizierungsumgehungs-Schwachstelle in cPanel & WHM (CVSS 10.0). Durch die Ausnutzung einer unsachgemäßen Behandlung von CRLF-Sequenzen im Parser des HTTP-Authorization-Headers während einer vorzeitigen Session-Initialisierung kann ein Angreifer serverseitige Session-Dateien manipulieren und ohne gültige Anmeldedaten eine vollständige WHM-Autorisierung auf Root-Ebene erlangen.

🎯 Kernphilosophie der Auswirkung

„Kontrolliere die Session, besitze den Host."
Da WHM-Oberflächen direkt unter administrativen Privilegien operieren, stellen Authentifizierungsumgehungsvektoren auf Verwaltungsports (2083/2087) unmittelbare Risiken einer vollständigen Kompromittierung aller Web Host Manager-Installationen dar.

📊 Schwachstellen-Spezifikationen

Spezifikation	Zugewiesener Wert	Hinweise
CVE-Kennung	CVE-2026-41940	cPanel & WHM Session-Header-Injection-Bypass
Schweregrad	Kritisch (CVSS v3.1: 10.0)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Schwachstellentyp	CWE-113 / CWE-287	CRLF-Injection & Authentifizierungs-Bypass
Betroffene Komponente	cPanel & WHM Session-Daemon (cpsrvd)	HTTP-Authorization-Header-Parsing-Engine
Angriffsvektor	Netzwerk (TCP 2083 / 2087)	Unauthentifizierte, manipulierte HTTP-Authorization-Anfrage
Erforderliche Berechtigungen	Keine	Keine Benutzerauthentifizierung oder Interaktion erforderlich

🕸 Angriffsszenario & Architektur

graph TD
    A[Unauthenticated Attacker] -->|Crafted Authorization Header with CRLF| B[cPanel / WHM Service]
    B -->|Premature Session File Generation| C[Inject Parameters into Session Data]
    C -->|Bypass Credential Validation| D[Grant Elevated WHM Administrative Token]
    D -->|Post-Exploitation Actions| E[Full System Root Compromise]
  

📋 Tabelle der betroffenen Versionen

Zweig	Betroffener Versionsbereich	Gepatchte Version
110.x	≤ 11.110.0.96	11.110.0.97
118.x	≤ 11.118.0.62	11.118.0.63
126.x	≤ 11.126.0.53	11.126.0.54
132.x	≤ 11.132.0.28	11.132.0.29
134.x	≤ 11.134.0.19	11.134.0.20
136.x	≤ 11.136.0.4	11.136.0.5

🛡 Threat Hunting & Erkennungsabfragen

Splunk Enterprise-Abfrage:

index=cpanel sourcetype=cpanel_access_log 
| rex field=_raw "(?i)authorization:\s*(?[^\r\n]+)"
| where match(auth_header, "[\r\n]") OR match(auth_header, "%0D%0A")
| stats count by clientip, http_user_agent, uri_path, auth_header
| sort - count

Microsoft Sentinel-Abfrage:

CommonSecurityLog
| where DeviceVendor =~ "cPanel" or DeviceProduct has "WHM"
| where AdditionalExtensions has "Authorization"
| where AdditionalExtensions matches regex "(\r\n|\n|\r|%0D%0A)"
| summarize EventCount = count(), IPs = make_set(SourceIP, 10) by bin(TimeGenerated, 5m), DeviceName
| where EventCount > 0