CVE-2026-41940 - cPanel & WHM 인증 우회 익스플로잇

취약점: cpsrvd의 HTTP Basic 인증 핸들러에서 CRLF 주입을 통한 세션 파일 조작 CVE: CVE-2026-41940 CVSS: 9.8 (치명적) CWE: CWE-93 (CRLF 주입) / CWE-306 (인증 누락) 영향받는 버전: 다음 버전 미만의 cPanel & WHM: 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20, 11.136.0.5 포트: 2082/2083 (cPanel), 2086/2087 (WHM), 2095/2096 (Webmail)

기술적 근본 원인: cpsrvd의 HTTP Basic 인증 핸들러는 제공된 비밀번호를 그대로 Cpanel::Session::saveSession()을 통해 사전 인증 세션 파일에 저장합니다. 이는 CR/LF를 제거하기 위해 filter_sessiondata()를 호출하는 Cpanel::Session::create() / Cpanel::Session::Modify::save() 래퍼의 살균 처리를 우회합니다. saveSession() 자체는 filter_sessiondata()를 호출하지 않으므로 비밀번호의 모든 CR/LF가 리터럴 개행 문자로 원시 세션 파일에 기록됩니다.

URL에 바인딩된 보안 토큰 검사에 실패하여 요청이 거부되면 cpsrvd의 do_token_denied() 핸들러가 Cpanel::Session::Modify::new($session, nocache => 1)을 호출합니다. nocache => 1 플래그는 JSON 캐시를 로드하는 대신 원시 세션 파일을 (줄 단위 key=value로) 재파싱하도록 강제합니다. 공격자가 제어하는 pass 필드에서 CRLF로 분할된 줄은 이제 별도의 key=value 레코드로 처리됩니다. 그런 다음 Modify::save()는 파싱된 모든 키(공격자의 키 포함)를 최상위 세션 항목으로 승격시켜 JSON 캐시를 다시 작성합니다.

재생성 후 세션에는 user=root, hasroot=1, tfa_verified=1, 공격자가 선택한 cp_security_token 및 새로운 successful_internal_auth_with_timestamp가 포함됩니다. cpsrvd는 이 세션을 완전히 인증된 것으로 간주합니다.

공격 체인 (HTTP 요청 4회):

사전 인증 세션 생성: POST /login/?login_only=1 (실패한 로그인) -> 세션 파일 생성, whostmgrsession 쿠키 획득
CRLF 주입: CRLF 페이로드가 포함된 Authorization: Basic 헤더로 GET / 요청, 난독화 접미사가 없는 쿠키 -> \r\n이 삽입된 비밀번호가 원시 세션 파일에 기록됨
재생성 트리거: GET /cpsess/scripts2/listaccts -> do_token_denied() 실행, 원시 파일 재파싱, 주입된 키 승격
인증된 접근: GET /cpsess/json-api/version -> 세션이 이제 root 권한을 가지며 비밀번호 및 2FA 우회

참고: Perl의 무작위 해시 반복 순서로 인해 경쟁 조건(race condition)이 존재합니다. 원래의 (설정되지 않은) cp_security_token이 주입된 토큰을 덮어쓸 수 있습니다. 여러 번 재시도하면 공격 체인이 안정적으로 동작합니다.

면책 조항: 이 도구는 승인된 보안 테스트 및 연구 목적으로만 제공됩니다. 소유하지 않았거나 명시적 테스트 허가를 받지 않은 시스템에 대한 무단 사용은 불법입니다.

인기

CVE-2026-41940_exploit