cPanel & WHM: falha no Phusion Passenger permite elevação de privilégios em servidores com pacotes específicos
O que fazer
- Afeta
- cPanel antes da versão corrigida
- Quem faz
- Hospedagem e revenda: nada a fazer, a Rapid Cloud atualiza o servidorVPS e Cloud: você atualiza o servidor
- Ação
- Atualizar para ea-apache24-mod-passenger: 6.1.8-2 e ea-passenger-src: 6.1.8-2 e ea-ruby27-rubygem-passenger: 6.0.27-2 (el7), 6.1.8-2 (el8) e ea-ruby27-mod_passenger: 6.0.27-2 (el7), 6.1.8-2 (el8) e ea-ruby24-rubygem-passenger: 6.0.20-4 e ea-ruby24-mod_passenger: 6.0.20-4 e ea-nginx-passenger: 6.1.8-2 ou superior
- PrazoVPS e Cloud
- Até 21/08já passouPrazo padrão de 7 dias, porque o fornecedor não publicou a gravidade. Se ainda não atualizou o servidor, atualize agora.
Tenho VPS ou Cloud: como atualizar
- Atualize o cPanel com o comando abaixo: ele instala a versão mais recente da trilha configurada no servidor.
- Confira a versão depois de atualizar.
Comandos
- Atualizar
/scripts/upcp - Conferir
/usr/local/cpanel/cpanel -V
Ficou com dúvida?Falar com o suporte
O que aconteceu
O cPanel divulgou uma vulnerabilidade na API Watchdog do Phusion Passenger, componente usado para rodar aplicações como Ruby, que permite elevação local de privilégios, ou seja, um usuário com acesso ao servidor pode obter permissões maiores do que deveria. A falha não afeta instalações padrão do cPanel e só atinge servidores com algum destes pacotes instalados: ea-apache24-mod-passenger, ea-passenger-src, ea-ruby27-rubygem-passenger, ea-ruby27-mod_passenger, ea-ruby24-rubygem-passenger, ea-ruby24-mod_passenger ou ea-nginx-passenger. As versões corrigidas incluem 6.1.8-2, 6.0.27-2 (el7) e 6.0.20-4, conforme o pacote.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (support.cpanel.net)
Trecho do aviso original, em inglês
A security vulnerability has been discovered in Phusion Passenger's Watchdog API. Note: This does not affect default installations of cPanel. This vulnerability is only applicable to servers where an affected package has been installed. Please check the "Affected Product Versions" Table for a full list of vulnerable packages. Local privilege escalation is possible.
Trecho curto, reproduzido para referência.Texto completo em support.cpanel.net
Título original e fonte
ENSecurity: Privilege Escalation via Phusion Passenger's Watchdog API
O que são esses termos?
- Sem nota oficial
- O fornecedor não classificou a gravidade da falha. Não quer dizer que ela seja leve: para quem precisa agir, vale o prazo padrão.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.