CVE-2026-41940 - Эксплойт обхода аутентификации cPanel & WHM

Уязвимость: Манипуляция файлом сессии через CRLF-инъекцию в обработчике HTTP Basic аутентификации cpsrvd CVE: CVE-2026-41940 CVSS: 9.8 (Критический) CWE: CWE-93 (CRLF-инъекция) / CWE-306 (Отсутствие аутентификации) Затронуты: Версии cPanel & WHM до: 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20, 11.136.0.5 Порты: 2082/2083 (cPanel), 2086/2087 (WHM), 2095/2096 (Webmail)

ТЕХНИЧЕСКАЯ ПРИЧИНА: Обработчик HTTP Basic аутентификации cpsrvd сохраняет предоставленный пароль дословно в файл сессии до аутентификации через Cpanel::Session::saveSession() — минуя санирующие обёртки Cpanel::Session::create() / Cpanel::Session::Modify::save(), которые вызывают filter_sessiondata() для удаления CR/LF. Поскольку saveSession() сама не вызывает filter_sessiondata(), любой CR/LF в пароле записывается в необработанный файл сессии как буквенные символы новой строки.

Когда запрос отклоняется из-за неудачной проверки привязанного к URL токена безопасности, обработчик do_token_denied() cpsrvd вызывает Cpanel::Session::Modify::new($session, nocache => 1). Флаг nocache => 1 заставляет повторно разобрать необработанный файл сессии (построчно ключ=значение) вместо загрузки кэша JSON. Строки, разделённые CRLF из контролируемого атакующим поля pass, теперь обрабатываются как отдельные записи ключ=значение. Затем Modify::save() перезаписывает кэш JSON со всеми разобранными ключами — включая ключи атакующего — повышенными до записей верхнего уровня сессии.

После регенерации сессия содержит user=root, hasroot=1, tfa_verified=1, выбранный атакующим cp_security_token и свежий successful_internal_auth_with_timestamp. cpsrvd обрабатывает сессию как полностью аутентифицированную.

ЦЕПОЧКА АТАКИ (4 HTTP-запроса):

1. Создание сессии до аутентификации: POST /login/?login_only=1 (неудачный вход) -> создаётся файл сессии, получаем cookie whostmgrsession
2. CRLF-инъекция: GET / с заголовком Authorization: Basic, содержащим полезную нагрузку CRLF, cookie БЕЗ суффикса обфускации -> пароль со встроенными \r\n записывается в необработанный файл сессии
3. Триггер регенерации: GET /cpsess/scripts2/listaccts -> срабатывает do_token_denied(), повторно разбирает необработанный файл, продвигает внедрённые ключи
4. Аутентифицированный доступ: GET /cpsess/json-api/version -> сессия теперь имеет привилегии root, обходит пароль и 2FA

ПРИМЕЧАНИЕ: Существует состояние гонки из-за рандомизированного порядка итерации хэшей Perl. Исходный (неустановленный) cp_security_token может перезаписать внедрённый. Многократные повторения делают цепочку надёжной.

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Этот инструмент предоставляется только для авторизованного тестирования безопасности и исследовательских целей. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, незаконно.