Webmin1.930 ची नवीन आवृत्ती कमीतकमी एका वर्षासाठी अस्तित्वात असलेली पिछाडी दूर करते

नोकरी

काही दिवसांपूर्वी बॅकडोर म्हणून ओळखल्या जाणार्‍या असुरक्षा कमी करण्यासाठी वेबमिनची नवीन आवृत्ती प्रकाशित केली गेली (सीव्हीई -2019-15107), सोर्सफोर्जद्वारे वितरीत केलेल्या प्रकल्पाच्या अधिकृत आवृत्तीमध्ये आढळले.

शोधलेला बॅकडोर 1.882 ते 1.921 पर्यंतच्या आवृत्त्यांमध्ये ते उपस्थित होते सर्वसमावेशक (गिट रेपॉजिटरीमध्ये बॅकडोरसह कोणताही कोड नव्हता) आणि आपणास रूट-विशेषाधिकारित सिस्टमवर अनधिकृत शेल कमांडस ऑथेंटिकेशनशिवाय दूरस्थपणे चालविण्याची परवानगी देण्यात आली.

वेबमिन बद्दल

ज्यांना वेबमिन बद्दल माहित नाही त्यांच्यासाठी त्यांना ते माहित असले पाहिजे हे लिनक्स सिस्टम नियंत्रित करण्यासाठी वेब-आधारित कंट्रोल पॅनेल आहे. आपला सर्व्हर व्यवस्थापित करण्यासाठी एक अंतर्ज्ञानी आणि वापरण्यास सुलभ इंटरफेस प्रदान करते. वेबमिनची अलीकडील आवृत्त्या विंडोज सिस्टमवर स्थापित आणि चालविली जाऊ शकतात.

वेबमिनसह, आपण फ्लायवर सामान्य पॅकेज सेटिंग्ज बदलू शकतावेब सर्व्हर आणि डेटाबेस तसेच वापरकर्त्यांसह गट, आणि सॉफ्टवेअर पॅकेजेस व्यवस्थापित करणे.

वेबमीन वापरकर्त्यास चालू असलेल्या कार्यपद्धती, तसेच स्थापित पॅकेजविषयी तपशील, सिस्टम लॉग फाइल्स व्यवस्थापित करा, नेटवर्क इंटरफेसच्या कॉन्फिगरेशन फाइल्स संपादित करा, फायरवॉल नियम जोडा, टाईम झोन आणि सिस्टम क्लॉक कॉन्फिगर करा, सीयूपीएसद्वारे प्रिंटर जोडा, स्थापित पर्ल मॉड्यूल्सची यादी करा, एसएसएच किंवा सर्व्हर डीएचसीपी कॉन्फिगर करा, आणि डीएनएस डोमेन रेकॉर्ड व्यवस्थापक.

वेबमोर 1.930 बॅकडोर दूर करण्यासाठी आगमन करते

रिमोट कोड अंमलबजावणीच्या असुरक्षा संबोधित करण्यासाठी वेबमिन आवृत्ती 1.930 ची नवीन आवृत्ती प्रकाशित केली गेली. या असुरक्षाकडे सार्वजनिकपणे शोषण मॉड्यूल उपलब्ध आहेत, काय बर्‍याच आभासी UNIX व्यवस्थापन प्रणालीला धोका निर्माण करते.

सुरक्षा सल्लागार सूचित करते की आवृत्ती 1.890 (CVE-2019-15231) डीफॉल्ट कॉन्फिगरेशनमध्ये असुरक्षित आहे, तर इतर प्रभावित आवृत्त्यांना "वापरकर्ता संकेतशब्द बदला" पर्याय सक्षम करणे आवश्यक आहे.

असुरक्षा बद्दल

एखादा आक्रमणकर्ता संकेतशब्द रीसेट विनंती फॉर्म पृष्ठास दुर्भावनायुक्त http विनंती पाठवू शकतो कोड इंजेक्ट करण्यासाठी आणि वेबमिन वेब अनुप्रयोग घेण्यास. असुरक्षा अहवालानुसार, या दोषाचा उपयोग करण्यासाठी आक्रमणकर्त्यास वैध वापरकर्तानाव किंवा संकेतशब्द आवश्यक नाहीत.

या वैशिष्ट्याचे अस्तित्व म्हणजे ईजुलै 2018 पासून ही असुरक्षा वेबमिनमध्ये संभाव्यत: अस्तित्वात आहे.

हल्ल्यासाठी वेबमीनसह ओपन नेटवर्क पोर्टची उपस्थिती आवश्यक आहे जुने संकेतशब्द बदलण्यासाठी फंक्शनच्या वेब इंटरफेसमधील क्रियाकलाप (डीफॉल्टनुसार ते 1.890 बिल्ड्समध्ये सक्षम केले आहे, परंतु ते इतर आवृत्त्यांमध्ये अक्षम केले गेले आहे).

अद्यतन 1.930 मध्ये समस्येचे निराकरण केले.

मागील दरवाजाला लॉक करण्यासाठी तात्पुरते उपाय म्हणून /etc/webmin/miniserv.conf कॉन्फिगरेशन फाइलमधून फक्त "passwd_mode =" सेटिंग काढा. चाचणीसाठी एक नमुना शोषण तयार केले गेले आहे.

ही संकेतशब्द_शब्द बदला. स्क्रिप्टमध्ये सापडली, वेब फॉर्ममध्ये प्रविष्ट केलेला जुना संकेतशब्द सत्यापित करण्यासाठी यूनिक्स_क्रिप्ट फंक्शनचा वापर केला जातो, जो वापरकर्त्याकडून प्राप्त केलेला संकेतशब्द विशेष वर्ण न वाचवता पाठवितो.

गिट रिपॉझिटरीमध्ये, हे फंक्शन क्रिप्ट :: युनिक्सक्रिप्ट मॉड्यूलवरील दुवा आहे आणि हे धोकादायक नाही, परंतु कोडसह प्रदान केलेल्या सोर्सफोर्ज फाईलमध्ये, एका कोडला म्हटले जाते जे थेट / इत्यादी / छायांमध्ये प्रवेश करते, परंतु शेल कन्स्ट्रक्टद्वारे तसे करते.

हल्ला करण्यासाठी, फक्त indicate | symbol चिन्ह दर्शवा जुन्या संकेतशब्दासह फील्डमध्ये आणि पुढील कोड सर्व्हरवर मूळ विशेषाधिकारांसह चालविला जाईल.

वेबमिन विकसकांच्या विधानानुसार, प्रकल्पाच्या पायाभूत सुविधांच्या तडजोडीच्या परिणामी दुर्भावनायुक्त कोडची जागा घेतली जात होती.

तपशील अद्याप जाहीर करणे बाकी आहे, म्हणूनच हे अस्पष्ट आहे की हेक सोर्सफोर्जमधील खात्यावर नियंत्रण ठेवण्यासाठी मर्यादित होते किंवा त्याचा वेबमिनच्या असेंब्ली आणि डेव्हलपमेंट इन्फ्रास्ट्रक्चरच्या इतर घटकांवर परिणाम झाला.

वापरकर्त्याच्या बिल्ड्सवर देखील या समस्येचा परिणाम झाला. सध्या सर्व बूट फाइल्स गीटमधून पुन्हा तयार केल्या आहेत.


टिप्पणी करणारे सर्वप्रथम व्हा

आपली टिप्पणी द्या

आपला ई-मेल पत्ता प्रकाशित केला जाणार नाही. आवश्यक फील्ड चिन्हांकित केले आहेत *

*

*

  1. डेटा जबाबदार: मिगुएल Áन्गल गॅटन
  2. डेटाचा उद्देशः नियंत्रण स्पॅम, टिप्पणी व्यवस्थापन.
  3. कायदे: आपली संमती
  4. डेटा संप्रेषण: कायदेशीर बंधन वगळता डेटा तृतीय पक्षास कळविला जाणार नाही.
  5. डेटा संग्रहण: ओकेन्टस नेटवर्क (EU) द्वारा होस्ट केलेला डेटाबेस
  6. अधिकारः कोणत्याही वेळी आपण आपली माहिती मर्यादित, पुनर्प्राप्त आणि हटवू शकता.