Joitakin päiviä sitten uusi Webmin-versio julkaistiin takaoveksi tunnistetun haavoittuvuuden lieventämiseksi (CVE-2019-15107), löytyy projektin virallisista versioista, jota jaetaan Sourceforgen kautta.
Löydetty takaovi oli läsnä versioina 1.882 - 1.921 mukaan lukien (git-arkistossa ei ollut koodia, jossa olisi takaovea) ja sinun sallittiin suorittaa mielivaltaisia komentoja shell-etäkäytössä etänä ilman todennusta.
Tietoja Webminista
Niille, jotka eivät ole tietoisia Webministä heidän pitäisi tietää se Tämä on verkkopohjainen ohjauspaneeli Linux-järjestelmien ohjaamiseen. Tarjoaa intuitiivisen ja helppokäyttöisen käyttöliittymän palvelimesi hallintaan. Uusimmat Webmin-versiot voidaan myös asentaa ja käyttää Windows-järjestelmissä.
Webminin avulla voit muuttaa yleisiä pakettiasetuksia lennossa, mukaan lukien verkkopalvelimet ja tietokannat, sekä käyttäjien, ryhmien ja ohjelmistopakettien hallinta.
Webmin antaa käyttäjän nähdä käynnissä olevat prosessit sekä tiedot asennetuista paketeista, hallita järjestelmälokitiedostoja, muokata verkkoliittymän määritystiedostoja, lisätä palomuurisääntöjä, määrittää aikavyöhyke ja järjestelmän kello, lisätä tulostimia CUPS: n kautta, luetella asennetut Perl-moduulit, määrittää SSH- tai palvelimen DHCP-asetukset ja DNS-toimialueiden tietueiden hallinta.
Webmin 1.930 saapuu poistamaan takaoven
Webmin-version 1.930 uusi versio julkaistiin koodin etäsuorittamisen haavoittuvuuden korjaamiseksi. Tällä haavoittuvuudella on julkisesti saatavilla olevia moduuleja, kuin asettaa monet virtuaaliset UNIX-hallintajärjestelmät vaaraan.
Suojausneuvonta osoittaa, että versio 1.890 (CVE-2019-15231) on haavoittuva oletuskokoonpanossa, kun taas muut kohteet, joihin tämä vaikuttaa, edellyttävät, että "Vaihda käyttäjän salasana" on käytössä.
Tietoja haavoittuvuudesta
Hyökkääjä voi lähettää haitallisen http-pyynnön salasanan palautuspyyntölomakkeen sivulle injektoida koodia ja ottaa haltuunsa webmin-verkkosovellus. Haavoittuvuusraportin mukaan hyökkääjä ei tarvitse kelvollista käyttäjänimeä tai salasanaa tämän virheen hyödyntämiseksi.
Tämän ominaisuuden olemassaolo tarkoittaa, että eTämä haavoittuvuus on ollut läsnä Webminissä heinäkuusta 2018 lähtien.
Hyökkäys edellyttää avoimen verkkoportin läsnäoloa Webminin kanssa ja toiminto verkkokäyttöliittymässä vanhentuneen salasanan vaihtamiseksi (oletusarvoisesti se on käytössä 1.890-koontiversioissa, mutta se on poistettu käytöstä muissa versioissa).
Ongelma korjattiin päivityksessä 1.930.
Ongelma havaittiin password_change.cgi-komentosarjassa, jossa unix_crypt-toimintoa käytetään verkkolomakkeeseen syötetyn vanhan salasanan tarkistamiseen, joka lähettää käyttäjältä vastaanotetun salasanan välttämättä erikoismerkkejä.
Git-arkistossa tämä toiminto on linkki Crypt :: UnixCrypt-moduuliin ja se ei ole vaarallista, mutta koodin mukana toimitetussa sourceforge-tiedostossa kutsutaan koodia, joka käyttää suoraan tiedostoa / etc / shadow, mutta tekee sen kuorirakenteen kanssa.
Hyökkääksesi, merkitse vain symboli «|» kentässä vanhalla salasanalla ja seuraava koodi suoritetaan palvelimen pääkäyttöoikeuksilla.
Webmin-kehittäjien lausunnon mukaan haitallinen koodi korvasi projektin infrastruktuurin vaarantumisen seurauksena.
Yksityiskohtia ei ole vielä ilmoitettu, joten on epäselvää, rajoittuiko hakkerointi tilin hallinnan hankkimiseen Sourceforgessa vai vaikuttiko se muihin Webminin kokoonpano- ja kehitysinfrastruktuurin osiin.
Asia vaikutti myös Usermin-rakennuksiin. Tällä hetkellä kaikki käynnistystiedostot on rakennettu uudelleen Gitistä.