محققان امنیتی یک آسیب‌پذیری مهم را در cPanel & WHM کشف کرده‌اند. cPanel & WHM نرم‌افزار محبوبی است که توسط شرکت‌های هاستینگ برای مدیریت وب‌سایت‌ها استفاده می‌شود. این آسیب‌پذیری می‌تواند باعث دور زدن احراز هویت دوعاملی شود.

cPanel & WHM بسته نرم‌افزاری‌ای است که برای مدیریت وب‌سایت‌ها به کار می‌رود. cPanel توسط صاحبان وب‌سایت برای ایجاد و مدیریت وب‌سایت‌ها، ساخت اکانت ایمیل و… مورد استفاده قرار می‌گیرد. WHM توسط شرکت میزبان (هاستینگ) برای ایجاد اکانت‌های cPanel به کار می‌رود. این اکانت‌ها از اهمیت حیاتی برخوردار اند، زیرا مهاجمان با نفوذ به آنها می‌توانند کنترل کامل وب‌سایت را به دست گیرند.

طبق آنچه در وب‌سایت cPanel گفته شده است، این نرم‌افزار در حال حاضر توسط صدها کمپانی هاستینگ برای مدیریت بیش از 70 میلیون دامنه در سراسر جهان استفاده می‌شود. پژوهشگران شرکت دیجیتال دیفنس (Digital Defense) کشف کردند که پیاده‌سازی احراز هویت دوعاملی (two-factor authentication, 2FA) نسبت به حملات آزمون جامع (brute force) آسیب‌پذیر است. مهاجم می‌تواند پارامترهای URL را حدس بزند و در صورتی که احراز هویت دوعاملی (2FA) فعال باشد، آن را دور بزند.

در احراز هویت دوعاملی، علاوه بر گذرواژه یک عامل دیگر نیز برای شناسایی کاربر، مورد نیاز است. برای مثال پس از آن که گذرواژه خود را وارد کردید، یک کد امنیتی به اپلیکیشنی روی موبایل شما فرستاده می‌شود که آن را نیز باید در صفحه لاگین وارد کنید.

به طور کلی حملات آزمون جامع ممکن است ساعت‌ها یا روزها به طول بینجامند، اما در این مورد خاص محققان توانستند حمله را در چند دقیقه به اتمام برسانند. مهاجم برای بهره‌برداری از این آسیب‌پذیری باید اعتبارنامه (مثل نام کاربری و گذرواژه) اکانت هدف را بداند. ممکن است مهاجم با کمک فیشینگ بتواند این اطلاعات را به دست آورد. از آنجا که این حمله نیازمند گذرواژه است، ممکن است صاحبان وب‌سایت تصور کنند که این آسیب‌پذیری چندان مهم نیست، اما این تصور درستی نیست، زیرا 2FA در اصل برای این ابداع شده که مهاجم نتواند با اعتبارنامه سرقت شده به اکانت وارد شود.

خبر خوب این است که دیجیتال دیفنس آسیب‌پذیری را به طور محرمانه به تیم cPanel گزارش داده است و cPanel نیز وصله آن را منتشر کرده است. اکنون این آسیب‌پذیری با شناسه SEC-575 رهگیری می‌شود. دارندگان وب‌سایت می‌توانند شماره نسخه cPanel را چک کنند تا تشخیص دهند که آیا شرکت میزبان به‌روزرسانی را اعمال کرده است یا خیر. آسیب‌پذیری در نسخه‌های 11.92.0.2، 11.90.0.17 و 11.86.0.32 برطرف شده است.

کاربران نباید به خاطر این باگ احراز هویت دوعاملی را غیرفعال کنند، بلکه باید از میزبان خود درخواست کنند که cPanel را به آخرین نسخه به‌روز کند.