CVE-2024-39182

O ISPmanager vaza detalhes da sessão do usuário root para um atacante que consiga rodar um comando específico contra ele, uma divulgação de informações que é alcançada sem autenticação. Informação de sessão é sensível porque é o tipo de coisa que viabiliza personificação: expor detalhes de uma sessão root num painel de controle de hospedagem beira o sequestro da conta mais poderosa da máquina.

Painéis de controle de hospedagem são alvos de alto valor — ficam à frente de muitos sites e detêm as chaves do servidor subjacente — então um vazamento não autenticado tocando a sessão root é mais consequente do que uma divulgação genérica. Ainda é uma primitiva de leitura, e não tomada de controle direta, mas nesse tipo de plataforma a distância entre vazar dados de sessão e usá-los pode ser pequena.

Nosso ângulo é exposição somada a detecção vigilante. Painéis de controle como o ISPmanager são expostos à internet por função, então confirmamos quais instâncias respondem publicamente e tratamos qualquer uma que responda como prioridade, dado o que um vazamento de sessão root viabiliza. Onde patch imediato não é possível, monitorar o padrão de comando específico no proxy e rotacionar sessões são movimentos interinos razoáveis, porque aqui a divulgação mira diretamente a conta que menos podemos nos dar ao luxo de perder.