A security flaw in the cPanel web hosting application allows attackers to bypass two-factor authentication factors (2FA) with brute-force attacks on domains που χρησιμοποιούν ευάλωτες εκδόσεις του cPanel - WebHost Manager (WHM).
cPanel is a software managementς που εγκαθίσταται σε servers φιλοξενίας ιστοσελίδων και επιτρέπει στους διαχειριστές και τους ιδιοκτήτες των ιστότοπων να αυτοματοποιήσουν τη διαχείριση του διακομιστή και της σελίδαs, offering a graphic environment.
The vulnerability has been recorded as CVE-2020-27641, and was discovered by the researchers Michael Clark and Wes Wright of Digital Defense.
Intruders could use CVE-2020-27641 to bypass 2FA on cPanel accounts on millions of sites because cPanel Security Policy does not prevent them from repeatedly submitting two-factor authentication codes.
"Όταν είναι ενεργοποιημένο το MFA, ένας χρήστης μπορεί να υποβάλει όσες προσπάθειες θέλει για να βρει το κλειδί του MFA χωρίς καθυστερήσεις και χωρίς κάποιο ban για να αποφευχθεί μια επίθεση brute-force", αναφέρουν οι ερευνητές.
"Αυτό οδηγεί σε ένα σενάριο όπου ένας εισβολέας με γνώση έγκυρων διαπιστευτηρίων θα μπορούσε να παρακάμψει τις προστασίες MFA σε έναν λογαριασμό μέσα σε λίγες ώρες. Οι δοκιμές μας έδειξαν ότι με τον καλύτερο συντονισμό της επίθεσης μπορεί να επιτευχθεί σε λίγα λεπτά."
The cPanel has already issued security updates for vulnerabilities in cPanel & WHM versions 11.92.0.2, 11.90.0.17 and 11.86.0.32. All new releases are available through the Software Update.
Of course, anyone using cPanel is advised to update immediately, or contact the company directly for more details if needed.