cPanel, un fournisseur d’outils d’administration populaires pour gérer l’hébergement Web, a corrigé une vulnérabilité de sécurité qui aurait pu permettre à des attaquants distants ayant accès à des informations d’identification valides de contourner la protection par authentification à deux facteurs (2FA) sur un compte.

Le problème, identifié comme «SEC-575» et découvert par des chercheurs de Défense numérique, a été corrigé par la société dans les versions 11.92.0.2, 11.90.0.17 et 11.86.0.32 du logiciel.

cPanel et WHM (Web Host Manager) offre un panneau de contrôle basé sur Linux permettant aux utilisateurs de gérer la gestion des sites Web et des serveurs, y compris des tâches telles que l’ajout de sous-domaines et l’exécution de la maintenance du système et du panneau de contrôle. À ce jour, plus 70 millions de domaines ont été lancés sur des serveurs utilisant la suite logicielle de cPanel.

Le problème provenait d’un manque de limitation de débit pendant 2FA lors des connexions, permettant ainsi à une partie malveillante de soumettre à plusieurs reprises des codes 2FA en utilisant une approche de force brute et de contourner le contrôle d’authentification.

Les chercheurs de Digital Defence ont déclaré qu’une attaque de ce type pourrait être réalisée en quelques minutes.

«La politique de sécurité cPanel d’authentification à deux facteurs n’a pas empêché un attaquant de soumettre à plusieurs reprises des codes d’authentification à deux facteurs», a déclaré cPanel dans son consultatif. « Cela a permis à un attaquant de contourner le contrôle d’authentification à deux facteurs en utilisant des techniques de force brute. »

La société a maintenant corrigé la faille en ajoutant un contrôle de limite de taux à son cPHulk service de protection par force brute, entraînant un échec de validation du code 2FA à traiter comme un échec de connexion.

Ce n’est pas la première fois que l’absence de limitation de débit pose un grave problème de sécurité.

En juillet, l’application de vidéoconférence Zoom a corrigé une faille de sécurité qui aurait pu permettre à des attaquants potentiels de déchiffrer le code numérique utilisé pour sécuriser les réunions privées sur la plate-forme et espionner les participants.

Il est recommandé aux clients de cPanel d’appliquer les correctifs pour atténuer le risque associé à la faille.