bk99.de entertain the web since 1997

bk99.de
hß · SicherheitKuratiert

Webhosting-Software cPanel: Updates schließen Sicherheitslücke

Zusammenfassung

Die Hosting-Verwaltung cPanel/WHM erhielt im August 2025 Updates für Lücken in mitgelieferter Drittanbieter-Software. Genannt wurden eine Prototype-Pollution-Lücke in requirejs 2.3.6 (CVE-2024-38999) und ein Speicherfehler in SQLite vor Version 3.50.2 (CVE-2025-6965, CVSS 7.2). Korrigiert waren die Zweige 130, 128, 126, 118 und 110.

Ideen

  • Mitgelieferte Bibliotheken erben ihre Lücken in das Hauptprodukt.
  • Prototype Pollution manipuliert JavaScript-Objekte bis hin zur Codeausführung.
  • Mehrere parallel gepflegte Versionszweige brauchen jeweils eigene Updates.

Einsichten

  • Die Lieferkette eines Produkts umfasst jede gebündelte Bibliothek.
  • Hosting-Plattformen sind wegen vieler Kundenkonten ein lohnendes Angriffsziel.

Fakten

  • Die korrigierten Versionen waren 130.0.5/6, 128.0.18, 126.0.28, 118.0.53 und 110.0.71.
  • Die SQLite-Lücke betraf Versionen vor 3.50.2.

Referenzen

Kritik

  • Die Meldung sagt nicht, ob die Lücken in cPanel tatsächlich erreichbar oder nur formal enthalten waren.

Empfehlungen

  • Führe für eingesetzte Produkte eine Stückliste der mitgelieferten Bibliotheken (SBOM).
  • Aktiviere automatische Updates für Hosting-Verwaltungen oder plane feste Wartungsfenster.

Originalartikel lesen →

Im Webarchiv suchen

hß · 2018

Updates schließen 19 Jahre alte Sicherheitslücke in Remote-Tool OpenSSH

Qualys meldete 2018 eine Lücke in OpenSSH (CVE-2018-15473), die seit der ersten Version von 1999 bestand. Angreifer konnten mit präparierten Paketen aus der Ferne prüfen, ob ein Benutzername existiert, weil der Server bei gültigen Namen die Verbindung anders beendete. Die Lücke galt nicht als kritisch, lieferte aber Material für gezielte Passwortangriffe.

hß · 1999

Patch soll Excel-Sicherheitslücke schließen

Microsoft stellte 1999 einen knapp 3 MByte großen Patch für eine Excel-Lücke bereit, über die Angreifer Dateien auf der Festplatte löschen konnten. Ursache war ein Fehler im Datenbanktreiber, ausgelöst durch Tabellen aus E-Mails oder von Webseiten, gegen den der Makrovirenschutz nichts ausrichtete. Betroffen waren Excel 97 und 2000, obwohl Microsofts deutsche Seiten Office 2000 für sicher erklärten.

hß · 2025

Google Chrome: Kritische Sicherheitslücke in Webbrowser

Google schloss im August 2025 eine kritische Lücke in Chrome (CVE-2025-9478), einen Use-after-free-Fehler im WebGL-Backend ANGLE. Angreifer konnten den Speicherfehler über präparierte Webseiten ausnutzen, was meist zur Ausführung von Schadcode führt. Korrigiert war die Lücke in Chrome 139.0.7258.154/155; Chromium-basierte Browser wie Edge dürften ebenfalls betroffen sein.