ISPsystem в разборе от 27 октября раскрыла механизм взлома VMmanager 6 Hosting: внешний запрос обходил фильтрацию и попадал во внутренние службы с административными привилегиями. Разработчик теперь подтверждает, что атака затронула инфраструктуру нескольких десятков хостинг-провайдеров.

Проблема возникала из-за разного понимания границ HTTP-запроса. Входной сервер nginx считал вложенные данные телом запроса на WebSocket-соединение, а служба VMmanager после отказа обрабатывала их как следующую команду. Поэтому служебная отметка, которую nginx обычно удалял у внешнего трафика, проходила внутрь. Система принимала её за признак доверенного внутреннего обращения — это разновидность контрабанды запросов, или HTTP Request Smuggling.

Первые экстренные исправления закрывали другой предполагаемый путь проникновения и ограничивали функции панели. Основной механизм, по хронологии ISPsystem, выявили и исправили 19 октября. Компания сообщает, что обновлённые серверы-ловушки выдержали наблюдавшиеся атаки, тогда как незащищённые удалось взломать. Это результат проверки разработчика, а не гарантия отсутствия любых других ошибок.

DOK ранее писал о краже файлов VPS через узлы хостинга: FirstVDS сообщила о копировании данных вне гостевых систем, а Senko после проверки своих узлов признаков кражи не нашла. Новый разбор объясняет вход в инфраструктуру, но не устанавливает общий объём похищенного. ISPsystem продолжает искать оставленные атакующими бэкдоры и просит пока сохранять изоляцию панелей. Закрытие уязвимости ещё не означает завершённой очистки.