Nová verzia Webmin1.930 odstraňuje zadné vrátka, ktoré boli prítomné najmenej rok

zadné dvere

Pred niekoľkými dňami bola vydaná nová verzia produktu Webmin s cieľom zmierniť zraniteľnosť identifikovanú ako zadné vrátka (CVE-2019-15107), nájdené v oficiálnych verziách projektu, ktorý je distribuovaný prostredníctvom Sourceforge.

Objavené zadné vrátka bol prítomný vo verziách od 1.882 do 1.921 vrátane (v úložisku git nebol zadný kód so zadnými vrátkami) a bolo vám umožnené vykonávať ľubovoľné príkazy shellu v systéme s oprávnením root na diaľku bez autentifikácie.

O spoločnosti Webmin

Pre tých, ktorí o Webmine nevedia mali by to vedieť Toto je webový ovládací panel na ovládanie systémov Linux. Poskytuje intuitívne a ľahko použiteľné rozhranie na správu servera. Posledné verzie produktu Webmin je možné nainštalovať a spustiť aj v systémoch Windows.

S Webminom môžete za behu meniť bežné nastavenia balíkov, vrátane webových serverov a databáz, ako aj správy používateľov, skupín a softvérových balíkov.

Webmin umožňuje užívateľovi vidieť prebiehajúce procesy, ako aj podrobnosti o nainštalovaných balíkoch, spravovať súbory denníka systému, upravovať konfiguračné súbory sieťového rozhrania, pridávať pravidlá brány firewall, konfigurovať časové pásmo a systémové hodiny, pridávať tlačiarne prostredníctvom CUPS, vypísať zoznam nainštalovaných modulov Perl, nakonfigurovať SSH alebo server DHCP a správcu záznamu domény DNS.

Webmin 1.930 prichádza, aby eliminoval zadné vrátka

Nová verzia Webmin verzie 1.930 bola vydaná s cieľom vyriešiť chybu zabezpečenia pri vzdialenom spustení kódu. Túto chybu zabezpečenia majú verejne prístupné moduly zneužitia, ako vystavuje riziku veľa virtuálnych systémov správy UNIX.

Bezpečnostné upozornenie naznačuje, že verzia 1.890 (CVE-2019-15231) je v predvolenej konfigurácii zraniteľná, zatiaľ čo ostatné ovplyvnené verzie vyžadujú povolenie možnosti „zmeniť heslo používateľa“.

O zraniteľnosti

Útočník môže odoslať škodlivú požiadavku http na stránku formulára žiadosti o obnovenie hesla vložiť kód a prevziať webovú aplikáciu webmin. Podľa správy o zraniteľnosti útočník nepotrebuje na zneužitie tejto chyby platné používateľské meno alebo heslo.

Existencia tejto charakteristiky znamená, že naprTáto chyba zabezpečenia sa vo webmine potenciálne vyskytuje od júla 2018.

Útok vyžaduje prítomnosť otvoreného sieťového portu s programom Webmin a aktivita vo webovom rozhraní funkcie na zmenu zastaraného hesla (v predvolenom nastavení je povolená v zostavách z roku 1.890, ale v iných verziách je zakázaná).

Problém bol opravený v aktualizácii 1.930.

Ako dočasné opatrenie na zablokovanie zadných dverí jednoducho odstráňte nastavenie „passwd_mode =“ z konfiguračného súboru /etc/webmin/miniserv.conf. Na testovanie bol pripravený prototyp exploitu.

Problém bol zistený v skripte password_change.cgi, v ktorej sa na overenie starého hesla zadaného vo webovom formulári používa funkcia unix_crypt, ktorá odošle heslo prijaté od používateľa bez úniku špeciálnych znakov.

V úložisku git táto funkcia je odkazom na modul Crypt :: UnixCrypt a nie je to nebezpečné, ale v súbore sourceforge poskytnutom s kódom sa volá kód, ktorý priamo pristupuje k súboru / etc / shadow, ale robí to pomocou konštrukcie shellu.

K útoku stačí označiť symbol «|» v poli so starým heslom a nasledujúci kód bude bežať s oprávneniami root na serveri.

Podľa vyhlásenia vývojárov Webminu škodlivý kód nahradil v dôsledku kompromisu v infraštruktúre projektu.

Podrobnosti ešte nebudú oznámené, takže nie je jasné, či sa hack obmedzil na prevzatie kontroly nad účtom v Sourceforge alebo či ovplyvnil ďalšie prvky montážnej a vývojovej infraštruktúry Webminu.

Táto otázka sa dotkla aj zostáv Usermin. V súčasnosti sú všetky bootovacie súbory znova zostavené z Gitu.


Buďte prvý komentár

Zanechajte svoj komentár

Vaša e-mailová adresa nebude zverejnená. Povinné položky sú označené *

*

*

  1. Zodpovedný za údaje: Miguel Ángel Gatón
  2. Účel údajov: Kontrolný SPAM, správa komentárov.
  3. Legitimácia: Váš súhlas
  4. Oznamovanie údajov: Údaje nebudú poskytnuté tretím stranám, iba ak to vyplýva zo zákona.
  5. Ukladanie dát: Databáza hostená spoločnosťou Occentus Networks (EU)
  6. Práva: Svoje údaje môžete kedykoľvek obmedziť, obnoviť a vymazať.