cPanel 11.38.2/11.40.1/11.42.0 Log File 情報漏えい

履歴差分リンクするjsonxmlCTI

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
3.5	$0-$5k	0.00

要約情報

このたび、cPanel 11.38.2/11.40.1/11.42.0において、問題があるに分類される脆弱性が見つかりました。この問題により影響を受けるのは、コンポーネント【Log File Handler】の未知の機能です。この操作は、情報漏えいを引き起こします。影響を受けたコンポーネントのアップグレードを推奨します。

このたび、cPanel 11.38.2/11.40.1/11.42.0において、問題があるに分類される脆弱性が見つかりました。この問題により影響を受けるのは、コンポーネント【Log File Handler】の未知の機能です。この操作は、情報漏えいを引き起こします。問題をCWEで宣言すると、CWE-200 になります。この弱点は 2014年03月31日に発表されました、TSR 2014-0003として、勧告として（ウェブサイト）。アドバイザリーは cpanel.net で共有されています。

テクニカルな情報はありません。この脆弱性の一般的な利用度は平均を下回っています。現時点で、脆弱性の構成から考えられる取引価格帯を約$0-$5k米ドルと算出しました。 MITRE ATT&CKプロジェクトは、攻撃手法を T1592 と定義しています。アドバイザリは以下の内容を示しています：

The cPanel & WHM update-analysis system aggregates log files and system settings into a tarball that is sent to cPanel’s log processing servers. This opt-in service allows cPanel to detect trends in the errors that cPanel & WHM systems encounter. The tarballs generated by the update-analysis system are retained on the local file system, with 0644 permissions, inside a world-accessible directory and include copies of several sensitive log files. This allowed local users to view the sensitive data contained inside.

0-dayの場合、推定されるアンダーグラウンドでの価格は約$0-$5kでした。

この問題は、11.42.0.23, 11.40.1.13 , 11.38.2.23へのアップグレードによって解決可能です。影響を受けたコンポーネントのアップグレードを推奨します。脆弱性の公開後、すぐに経過してから対策が公開されました。

他の脆弱性データベースにも記載されている脆弱性です: X-Force (92258).