며칠 전 백도어로 식별 된 취약점을 완화하기 위해 Webmin의 새 버전이 출시되었습니다. (CVE-2019-15107), Sourceforge를 통해 배포되는 프로젝트의 공식 버전에 있습니다.
발견 된 백도어 1.882 년부터 1.921 년까지의 버전에 존재했습니다. inclusive (git 저장소에 백도어가있는 코드가 없음) 및 인증없이 원격으로 루트 권한이있는 시스템에서 임의의 셸 명령을 실행할 수 있습니다.
Webmin 정보
Webmin을 모르는 사람들을 위해 그들은 알아야한다 이것은 Linux 시스템을 제어하기위한 웹 기반 제어판입니다. 서버를 관리하기위한 직관적이고 사용하기 쉬운 인터페이스를 제공합니다. 최신 버전의 Webmin을 Windows 시스템에 설치하고 실행할 수도 있습니다.
Webmin을 사용하면 일반적인 패키지 설정을 즉시 변경할 수 있습니다., 웹 서버 및 데이터베이스, 사용자, 그룹 및 소프트웨어 패키지 관리를 포함합니다.
Webmin을 통해 사용자는 실행중인 프로세스와 설치된 패키지에 대한 세부 정보를 볼 수 있습니다. 시스템 로그 파일 관리, 네트워크 인터페이스의 구성 파일 편집, 방화벽 규칙 추가, 시간대 및 시스템 시계 구성, CUPS를 통해 프린터 추가, 설치된 Perl 모듈 나열, SSH 또는 서버 DHCP 구성 및 DNS 도메인 레코드 관리자.
Webmin 1.930은 백도어를 제거하기 위해 도착했습니다.
원격 코드 실행 취약점을 해결하기 위해 Webmin 버전 1.930의 새 버전이 출시되었습니다. 이 취약점에는 공개적으로 사용 가능한 익스플로잇 모듈이 있습니다. 으로 많은 가상 UNIX 관리 시스템이 위험에 노출됩니다.
보안 권고에 따르면 버전 1.890 (CVE-2019-15231)은 기본 구성에서 취약한 반면 다른 영향을받는 버전에서는 "사용자 암호 변경"옵션을 활성화해야합니다.
취약성에 대해
공격자는 암호 재설정 요청 양식 페이지에 악성 http 요청을 보낼 수 있습니다. 코드를 주입하고 webmin 웹 애플리케이션을 인수합니다. 취약점 보고서에 따르면 공격자는이 결함을 악용하기 위해 유효한 사용자 이름이나 암호가 필요하지 않습니다.
이 특성의 존재는 e이 취약점은 2018 년 XNUMX 월부터 Webmin에 잠재적으로 존재했습니다.
공격을하려면 Webmin에 개방형 네트워크 포트가 있어야합니다. 및 기능의 웹 인터페이스에서 오래된 암호를 변경하는 활동 (기본적으로 1.890 빌드에서는 활성화되지만 다른 버전에서는 비활성화 됨).
이 문제는 1.930 업데이트에서 수정되었습니다..
문제는 password_change.cgi 스크립트에서 발견되었습니다. 여기서 unix_crypt 함수를 사용하여 웹 양식에 입력 된 이전 비밀번호를 확인하고 특수 문자를 이스케이프하지 않고 사용자로부터받은 비밀번호를 전송합니다.
git 저장소에서 이 함수는 Crypt :: UnixCrypt 모듈의 링크입니다. 위험하지는 않지만 코드와 함께 제공되는 sourceforge 파일에는 / etc / shadow에 직접 접근하는 코드가 호출되지만 쉘 구조로 그렇게합니다.
공격하려면«|»기호를 표시하십시오. 이전 비밀번호로 필드에 다음 코드는 서버에서 루트 권한으로 실행됩니다.
Webmin 개발자들의 성명에 따르면 프로젝트 인프라가 손상되어 악성 코드가 대체되었습니다.
세부 사항은 아직 발표되지 않았으므로 해킹이 Sourceforge에서 계정을 제어하는 것으로 제한되었는지 또는 Webmin의 어셈블리 및 개발 인프라의 다른 요소에 영향을 미치는지 확실하지 않습니다.
이 문제는 Usermin 빌드에도 영향을 미쳤습니다. 현재 모든 부팅 파일은 Git에서 다시 빌드됩니다.