CVE-2026-104474

ŚrednieCVSS 6.7

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.09%

Percentyl 0 - wyżej niż 0% wszystkich znanych CVE

Streszczenie

OpenLiteSpeed przed wersją 1.9.3 zawiera podatność lokalnego podniesienia uprawnień w admin/misc/lsup.sh, która uruchamia niezweryfikowane pakiety aktualizacji z katalogu zapisywalnego przez użytkownika nobody jako root. Atakujący kontrolujący proces webowy nobody może zastąpić pakiet w /usr/local/lsws/autoupdate/ przed rozpakowaniem, więc jego install.sh uruchomi się jako root przy następnej aktualizacji.

Ocena ryzyka

Atakujący z dostępem do procesu webowego może wykonać dowolny kod jako root, przejmując pełną kontrolę nad serwerem. Jest to krytyczne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaktualizuj OpenLiteSpeed do wersji 1.9.3 lub nowszej. Sprawdź uprawnienia do katalogu /usr/local/lsws/autoupdate/ i ogranicz dostęp dla użytkownika nobody.

Inne podatności w OpenLiteSpeed

CVE-2026-119559Średnie
OpenLiteSpeed do wersji 1.9.4 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć wymagania dotyczące certyfikatów klienta wirtualnego hosta przez HTTP/3. Ponieważ QuicStream dziedziczy implementację verifyContext(), która zawsze zwraca true, atakujący mogą przedstawić SNI hosta bez mTLS z chronionym nagłówkiem Host, aby uzyskać dostęp do chronionej zawartości.

Oryginalny opis (angielski, źródło NVD)

OpenLiteSpeed before 1.9.3 contains a local privilege escalation vulnerability in admin/misc/lsup.sh that runs unverified update packages from a nobody-writable directory as root. Attackers controlling the nobody web process can replace the package in /usr/local/lsws/autoupdate/ before extraction, so its install.sh runs as root on the next update.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS