OpenLiteSpeed Web Server, ein weltweit beliebter Open-Source-Webserver, enthielt einige Sicherheitslücken mit hohem Schweregrad, warnten Experten.
Bedrohungsakteure, die es geschafft hätten, diese Schwachstellen auszunutzen, hätten volle Privilegien für die Remote-Code-Ausführung erhalten, stellten Forscher von Unit 42, dem Forschungszweig für Cybersicherheit von Palo Alto Networks, fest.
Das Team stellte fest, dass OpenLiteSpeed Web Server drei Schwachstellen mit hohem Schweregrad aufwies, nämlich CVE-2022-0073 (Schweregrad 8,8, Fehler bei der Remotecodeausführung mit hohem Schweregrad), CVE-2022-0074 (ein Fehler bei der Rechteausweitung mit hohem Schweregrad 8,8), und CVE-2022-0072 (ein Verzeichnisdurchlauffehler in 5.8 mittlerer Schwere). Die Sicherheitslücken betrafen auch die Enterprise-Version LiteSpeed Web Server.
Patch bereit
Unit 42 hat LiteSpeed Technologies über seine Ergebnisse informiert, die daraufhin die Fehler behoben und neue Versionen des Servers veröffentlicht haben, wobei die Benutzer aufgefordert werden, ihre Software sofort zu aktualisieren.
Organisationen, die OpenLiteSpeed-Versionen 1.5.11–1.7.16 sowie LiteSPeed-Versionen 5.4.6–6.0.11 verwenden, werden dringend gebeten, ihre Endpunkte mitzubringen (öffnet in neuem Tab) bis 1.7.16.1 und 6.0.12 so schnell wie möglich.
Laut Unit 42 ist der LiteSpeed-Webserver das sechstbeliebteste Webangebot, das rund 2 % aller Webserveranwendungen bedient, mit fast 1,9 Millionen einzelnen Servern auf der ganzen Welt.
„Wir haben versucht, die Aktionen eines Gegners nachzuahmen, und haben Forschung betrieben, um Schwachstellen zu finden und sie dem Anbieter offenzulegen“, erklärten die Forscher in a Blogeintrag (öffnet in neuem Tab).
„Diese Untersuchung hat zum Auffinden von drei Sicherheitslücken geführt, die sowohl die Unternehmens- als auch die Open-Source-Lösungen betreffen. Diese könnten von einem Angreifer, der über die Anmeldeinformationen für das Admin-Dashboard verfügt, verkettet und ausgenutzt werden, um eine privilegierte Codeausführung auf anfälligen Komponenten zu erlangen.“
Webserver haben in Bezug auf Sicherheit und Schutz einen langen Weg zurückgelegt, schlussfolgert Unit 42 und fügt hinzu, dass trotz der optimistischen Aussichten aufgrund der rasanten technologischen Entwicklung immer noch Schwachstellen gefunden werden.