Prije nekoliko dana objavljena je nova verzija Webmina kako bi se ublažila ranjivost identificirana kao backdoor (CVE-2019-15107), koji se nalazi u službenim verzijama projekta, a koji se distribuira putem Sourceforgea.
Otkrivena stražnja vrata bio prisutan u verzijama od 1.882. do 1.921. godine uključujući (nije bilo koda sa zaklonom u spremištu git-a) i bilo vam je dopušteno izvršavati proizvoljne naredbe ljuske na root privilegiranom sustavu bez provjere autentičnosti.
O Webminu
Za one koji nisu svjesni Webmina to bi trebali znati Ovo je internetska upravljačka ploča za kontrolu Linux sustava. Pruža intuitivno i jednostavno za korištenje sučelje za upravljanje vašim poslužiteljem. Najnovije verzije Webmina također se mogu instalirati i pokrenuti na Windows sustavima.
Pomoću Webmina možete u hodu promijeniti uobičajene postavke paketa, uključujući web poslužitelje i baze podataka, kao i upravljanje korisnicima, grupama i softverskim paketima.
Webmin omogućuje korisniku da vidi pokrenute procese, kao i detalje o instaliranim paketima, upravlja sistemskim datotekama dnevnika, uređuje konfiguracijske datoteke mrežnog sučelja, dodaje pravila vatrozida, konfigurira vremensku zonu i sistemski sat, dodaje pisače putem CUPS-a, popis instaliranih Perl modula, konfiguriranje SSH ili poslužitelja DHCP i upravitelja zapisa DNS domene.
Webmin 1.930 stiže kako bi eliminirao pozadinu
Objavljena je nova verzija Webmin verzije 1.930 za rješavanje ranjivosti udaljenog izvršavanja koda. Ova ranjivost ima javno dostupne exploit module, kao izlaže mnoge virtualne UNIX sustave upravljanja.
Sigurnosno upozorenje ukazuje da je verzija 1.890 (CVE-2019-15231) ranjiva u zadanoj konfiguraciji, dok ostale pogođene verzije zahtijevaju da je omogućena opcija "promijeni korisničku lozinku".
O ranjivosti
Napadač može poslati zlonamjerni http zahtjev na stranicu obrasca zahtjeva za poništavanje lozinke za ubrizgavanje koda i preuzimanje webmin web aplikacije. Prema izvješću o ranjivosti, napadaču nije potrebno valjano korisničko ime ili lozinka da bi iskoristio ovu manu.
Postojanje ove karakteristike znači da eOva je ranjivost potencijalno prisutna u Webminu od srpnja 2018.
Za napad je potrebna prisutnost otvorenog mrežnog porta s Webminom i aktivnost na web sučelju funkcije za promjenu zastarjele lozinke (prema zadanim postavkama omogućena je u gradnjama iz 1.890. godine, ali je onemogućena u drugim verzijama).
Problem je riješen u ažuriranju 1.930.
Problem je otkriven u skripti password_change.cgi, u kojem se funkcija unix_crypt koristi za provjeru stare lozinke unesene u web obrazac, koja šalje lozinku primljenu od korisnika bez izbjegavanja posebnih znakova.
U spremištu git, ova je funkcija veza na modulu Crypt :: UnixCrypt i nije opasno, ali u datoteci sourceforge koja se isporučuje s kodom naziva se kod koji izravno pristupa / etc / shadow, ali to čini s konstrukcijom ljuske.
Za napad samo naznačite simbol «|» na terenu sa starom lozinkom a sljedeći će se kôd izvoditi s root privilegijama na poslužitelju.
Prema izjavi programera Webmin, zlonamjerni kod zamjenjivao se kao rezultat kompromitacije projektne infrastrukture.
Pojedinosti tek trebaju biti objavljene, pa nije jasno je li hakiranje bilo ograničeno na preuzimanje računa nad Sourceforgeom ili je utjecalo na ostale elemente Webminove infrastrukture za montažu i razvoj.
Problem je utjecao i na izrade Usermin. Trenutno su sve datoteke za pokretanje obnovljene iz Gita.