cPanel, un proveedor de herramientas administrativas populares para administrar alojamiento web, ha reparado una vulnerabilidad de seguridad que podría haber permitido a atacantes remotos con acceso a credenciales válidas eludir la protección de autenticación de dos factores (2FA) en una cuenta.

El problema, rastreado como «SEC-575» y descubierto por investigadores de Digital Defense, ha sido solucionado por la empresa en las versiones 11.92.0.2, 11.90.0.17 y 11.86.0.32 del software.

cPanel y WHM (Web Host Manager) ofrecen un panel de control basado en Linux para que los usuarios manejen la administración del sitio web y del servidor, incluidas tareas como agregar subdominios y realizar el mantenimiento del sistema y del panel de control. Hasta la fecha, se han lanzado más de 70 millones de dominios en servidores que utilizan el paquete de software de cPanel.

El problema se debió a la falta de limitación de velocidad durante 2FA durante los inicios de sesión, lo que hace posible que una parte malintencionada envíe repetidamente códigos 2FA utilizando un enfoque de fuerza bruta y eluda la verificación de autenticación.

Los investigadores de Digital Defense dijeron que un ataque de este tipo podría lograrse en minutos.

«La política de seguridad de cPanel de autenticación de dos factores no impidió que un atacante enviara repetidamente códigos de autenticación de dos factores», dijo cPanel en su aviso. «Esto permitió a un atacante eludir la verificación de autenticación de dos factores utilizando técnicas de fuerza bruta».

La compañía ahora ha solucionado la falla al agregar una verificación de límite de velocidad a su servicio de protección de fuerza bruta cPHulk, lo que hace que una validación fallida del código 2FA se trate como un inicio de sesión fallido.

Esta no es la primera vez que la ausencia de limitación de velocidad plantea un grave problema de seguridad.

En julio, la aplicación de videoconferencia Zoom arregló una brecha de seguridad que podría haber permitido a los atacantes potenciales descifrar el código de acceso numérico utilizado para asegurar reuniones privadas en la plataforma y espiar a los participantes.

Se recomienda que los clientes de cPanel apliquen los parches para mitigar el riesgo asociado con la falla.