CVE-2026-41940 – cPanel/WHM 인증 우회 PoC

이 저장소는 CVE-2026-41940에 대한 개념 증명(PoC) 익스플로잇을 포함하며, CRLF 주입 및 세션 포이즈닝을 통한 cPanel/WHM의 다단계 인증 우회를 시연합니다.

면책 조항: 이 코드는 교육 및 공인된 보안 테스트 목적으로만 제공됩니다. 소유하지 않았거나 명시적 테스트 권한이 없는 시스템에 사용하지 마십시오.

개요

이 PoC는 Hadrian과 watchTowr이 관찰한 기술을 기반으로 실제 공격 체인을 재현합니다.

이 취약점을 통해 공격자는 다음을 수행할 수 있습니다:

• CRLF 주입을 통해 임의의 세션 데이터 주입
• 서버 측 세션 파일 포이즈닝
• 인증 우회
• WHM API에 대한 루트 수준 액세스 획득

작동 방식

이 익스플로잇은 4단계 프로세스를 따릅니다:

1. 사전 인증 세션 획득

• 잘못된 자격 증명으로 로그인 요청 전송
• 유효한 세션 쿠키(whostmgrsession / cpsession) 추출

2. CRLF 페이로드 주입

• 조작된 Authorization 헤더(base64 인코딩) 전송
• 세션 파일에 악성 키-값 쌍 주입

주입된 페이로드에는 다음이 포함됩니다:

user=root
hasroot=1
tfa_verified=1
cp_security_token=/cpsessXXXXXXXXXX

3. 세션 재생성 트리거

• cPanel이 세션 파일을 다시 쓰도록 강제
• 주입된 악성 값을 유지할 수 있음

4. 인증 우회 검증

• WHM API 엔드포인트 호출:

/json-api/version?api.version=1

성공 시:

• HTTP 200 반환
• 루트 수준 액세스 확인

사용법

요구 사항

• Python 3.x
• requests 라이브러리

의존성 설치:

pip install requests

익스플로잇 실행

python3 exploit.py --host <target>

선택적 플래그:

--ssl        HTTPS 사용
--port       사용자 지정 포트 지정
--verbose    디버그 출력 활성화

예시

python3 exploit.py --host example.com --ssl --port 2087 --verbose

예상 출력

성공적인 익스플로잇:

[+] SUCCESS! Authenticated as root via CVE-2026-41940.
[+] Cookie: whostmgrsession=...
[+] Admin URL: https://target:2087/cpsess.../json-api/version?api.version=1

신뢰성 참고 사항

• 익스플로잇은 최대 5회 재시도합니다
• 이유:
  • Perl의 무작위 해시 반복
  • 주입된 세션 값이 덮어써질 가능성

완화 조치

시스템 관리자라면:

• 최신 cPanel/WHM 패치를 즉시 적용
• CRLF 주입 벡터 차단
• WAF 규칙을 사용하여 헤더 검증
• 비정상적인 세션 파일 쓰기 모니터링

기술적 세부 사항

취약점은 다음에 있습니다:

• 세션 데이터의 부적절한 처리
• 헤더 파싱 시 검증 부족
• 안전하지 않은 세션 파일 직렬화

익스플로잇이 악용하는 것:

• Authorization 헤더 주입
• Base64 인코딩된 CRLF 페이로드
• 세션 재생성 로직

법적 고지

이 PoC는 다음 목적으로 있는 그대로 제공됩니다:

• 보안 연구
• 방어적 테스트
• 교육 목적

무단 사용은 법률 및 규정을 위반할 수 있습니다.