Beberapa hari yang lalu versi baru Webmin dilancarkan untuk mengurangkan kerentanan yang dikenal sebagai pintu belakang (CVE-2019-15107), terdapat dalam versi rasmi projek, yang diedarkan melalui Sourceforge.
Pintu belakang dijumpai hadir dalam versi dari 1.882 hingga 1.921 inklusif (tidak ada kod dengan pintu belakang di git repositori) dan anda dibenarkan untuk melaksanakan perintah shell sewenang-wenang pada sistem istimewa root dari jarak jauh tanpa pengesahan.
Mengenai Webmin
Bagi mereka yang tidak menyedari Webmin mereka harus tahu itu Ini adalah panel kawalan berasaskan web untuk mengawal sistem Linux. Menyediakan antara muka yang intuitif dan mudah digunakan untuk menguruskan pelayan anda. Versi Webmin terkini juga boleh dipasang dan dijalankan pada sistem Windows.
Dengan Webmin, anda boleh mengubah tetapan pakej biasa dengan cepat, termasuk pelayan web dan pangkalan data, serta mengurus pengguna, kumpulan, dan pakej perisian.
Webmin membolehkan pengguna melihat proses yang sedang berjalan, serta perincian mengenai pakej yang dipasang, urus fail log sistem, edit fail konfigurasi antara muka rangkaian, tambahkan peraturan firewall, konfigurasikan zon waktu dan jam sistem, tambahkan pencetak melalui CUPS, daftar modul Perl yang dipasang, konfigurasikan SSH atau DHCP Server, dan pengurus rekod domain DNS.
Webmin 1.930 tiba untuk menghilangkan pintu belakang
Versi baru Webmin versi 1.930 dirilis untuk mengatasi kerentanan pelaksanaan kod jauh. Kerentanan ini mempunyai modul eksploitasi yang tersedia untuk umum, sebagai membahayakan banyak sistem pengurusan UNIX maya.
Nasihat keselamatan menunjukkan bahawa versi 1.890 (CVE-2019-15231) rentan dalam konfigurasi lalai, sementara versi lain yang terpengaruh memerlukan pilihan "menukar kata laluan pengguna" diaktifkan.
Mengenai kerentanan
Penyerang boleh menghantar permintaan http berbahaya ke halaman borang permintaan tetapan semula kata laluan untuk menyuntik kod dan mengambil alih aplikasi web webmin. Menurut laporan kerentanan, penyerang tidak memerlukan nama pengguna atau kata laluan yang sah untuk memanfaatkan kekurangan ini.
Kewujudan ciri ini bermaksud bahawa eKerentanan ini berpotensi ada di Webmin sejak Julai 2018.
Serangan memerlukan kehadiran port rangkaian terbuka dengan Webmin dan aktiviti di antara muka web fungsi untuk menukar kata laluan yang sudah lapuk (secara lalai ia diaktifkan pada tahun 1.890, tetapi ia dilumpuhkan dalam versi lain)
Masalahnya telah diperbaiki pada kemas kini 1.930.
Masalahnya ditemui dalam skrip password_change.cgi, di mana fungsi unix_crypt digunakan untuk mengesahkan kata laluan lama yang dimasukkan dalam borang web, yang menghantar kata laluan yang diterima dari pengguna tanpa melarikan diri dari watak khas.
Di repositori git, fungsi ini adalah pautan pada modul Crypt :: UnixCrypt dan itu tidak berbahaya, tetapi dalam file sourceforge yang disertakan dengan kod tersebut, disebut kod yang dapat mengakses / etc / shadow secara langsung, tetapi melakukannya dengan konstruk shell.
Untuk menyerang, nyatakan simbol «|» di lapangan dengan kata laluan lama dan kod berikut akan dijalankan dengan hak root pada pelayan.
Menurut kenyataan dari pembangun Webmin, kod jahat itu menggantikan hasil kompromi infrastruktur projek.
Butiran belum diumumkan, jadi tidak jelas apakah peretasan itu hanya terhad untuk mengambil alih akaun di Sourceforge atau jika ia mempengaruhi elemen lain dari infrastruktur pemasangan dan pengembangan Webmin.
Masalahnya juga mempengaruhi pembinaan Usermin. Pada masa ini semua fail boot dibina semula dari Git.