Prije nekoliko dana objavljena je nova verzija Webmina kako bi se ublažila ranjivost identificirana kao backdoor (CVE-2019-15107), pronađen u službenim verzijama projekta, koji se distribuira putem Sourceforgea.
Otkrivena stražnja vrata je bio prisutan u verzijama od 1.882. do 1.921 uključujući (u git spremištu nije bilo koda sa backdoor-om) i bilo vam je dozvoljeno da izvršavate proizvoljne naredbe ljuske na root privilegiranom sistemu bez provjere autentičnosti.
O Webminu
Za one koji nisu svjesni Webmina oni bi to trebali znati Ovo je internetska kontrolna ploča za kontrolu Linux sistema. Pruža intuitivno i jednostavno za korištenje sučelje za upravljanje vašim serverom. Najnovije verzije Webmina takođe se mogu instalirati i pokretati na Windows sistemima.
Pomoću Webmina možete u hodu promijeniti uobičajene postavke paketa, uključujući web servere i baze podataka, kao i upravljanje korisnicima, grupama i softverskim paketima.
Webmin omogućava korisniku da vidi pokrenute procese, kao i detalje o instaliranim paketima, upravlja sistemskim datotekama dnevnika, uređuje konfiguracijske datoteke mrežnog sučelja, dodaje pravila zaštitnog zida, konfigurira vremensku zonu i sistemski sat, dodaje pisače putem CUPS-a, popis instaliranih Perl modula, konfiguriranje SSH ili poslužitelja DHCP i DNS zapis menadžera domene.
Webmin 1.930 stiže kako bi eliminisao pozadinu
Objavljena je nova verzija Webmin verzije 1.930 za rješavanje ranjivosti udaljenog izvršavanja koda. Ove ranjivosti imaju javno dostupne exploit module, šta izlaže mnoge virtualne UNIX sisteme upravljanja.
Sigurnosno upozorenje ukazuje da je verzija 1.890 (CVE-2019-15231) ranjiva u zadanoj konfiguraciji, dok ostale pogođene verzije zahtijevaju da je omogućena opcija "promjena korisničke lozinke".
O ranjivosti
Napadač može poslati zlonamjeran http zahtjev na stranicu obrasca zahtjeva za poništavanje lozinke za ubrizgavanje koda i preuzimanje webmin web aplikacije. Prema izvještaju o ranjivosti, napadaču nije potrebno važeće korisničko ime ili lozinka da bi iskoristio ovu manu.
Postojanje ove karakteristike znači da eOva ranjivost potencijalno je prisutna u Webminu od jula 2018.
Za napad je potrebno prisustvo otvorenog mrežnog porta sa Webminom i aktivnost na web sučelju funkcije za promjenu zastarjele lozinke (po defaultu je omogućena u verzijama 1.890, ali je onemogućena u drugim verzijama).
Problem je riješen u ažuriranju 1.930.
Problem je otkriven u skripti password_change.cgi, u kojem se funkcija unix_crypt koristi za provjeru stare lozinke unesene u web obrazac, koja šalje lozinku primljenu od korisnika bez izbjegavanja posebnih znakova.
U git spremištu, ova je funkcija veza na modulu Crypt :: UnixCrypt i nije opasno, ali u sourceforge datoteci koja se isporučuje s kodom naziva se kod koji izravno pristupa / etc / shadow, ali to čini s konstrukcijom ljuske.
Za napad samo naznačite simbol «|» u polje sa starom lozinkom a sljedeći kôd će se izvoditi s root privilegijama na poslužitelju.
Prema izjavi programera Webmin, zlonamjeran je kod zamjenjivao rezultat kompromitacije projektne infrastrukture.
Detalji tek trebaju biti objavljeni, pa nije jasno je li hakiranje bilo ograničeno na preuzimanje računa u Sourceforgeu ili je utjecalo na druge elemente Webminove infrastrukture za montažu i razvoj.
Problem je utjecao i na izrade Usermin. Trenutno su sve datoteke za pokretanje obnovljene iz Gita.