Pred nekaj dnevi izdana je bila nova različica Webmina, da bi ublažili ranljivost, opredeljeno kot zakulisje (CVE-2019-15107), ki ga najdemo v uradnih različicah projekta, ki se distribuira prek Sourceforge.
Odkrita zakulisja je bil prisoten v različicah od 1.882 do 1.921 vključujoče (v shrambi git ni bilo nobene kode z zakulisjem) in na daljavo ste lahko izvajali poljubne ukaze lupine v korensko privilegiranem sistemu brez overjanja.
O Webminu
Za tiste, ki Webmin-a ne poznajo to bi morali vedeti To je spletna nadzorna plošča za nadzor sistemov Linux. Ponuja intuitiven in preprost vmesnik za upravljanje vašega strežnika. Najnovejše različice Webmina je mogoče namestiti in zagnati tudi v sistemih Windows.
Z Webmin lahko sproti spreminjate običajne nastavitve paketov, vključno s spletnimi strežniki in podatkovnimi bazami, pa tudi upravljanje uporabnikov, skupin in programskih paketov.
Webmin omogoča uporabniku, da vidi tekoče procese, kot tudi podrobnosti o nameščenih paketih, upravlja sistemske dnevniške datoteke, ureja konfiguracijske datoteke omrežnega vmesnika, dodaja pravila požarnega zidu, konfigurira časovni pas in sistemsko uro, doda tiskalnike prek CUPS, seznam nameščenih modulov Perl, konfiguriranje SSH ali strežnika DHCP in upravitelja zapisov DNS domene.
Webmin 1.930 prispe, da odpravi zakulisje
Izšla je nova različica Webmin različice 1.930 za odpravljanje ranljivosti oddaljenega izvajanja kode. Te ranljivosti imajo javno dostopne izkoriščevalne module, kot ogroža številne virtualne sisteme upravljanja UNIX.
Varnostno opozorilo navaja, da je različica 1.890 (CVE-2019-15231) v privzeti konfiguraciji ranljiva, medtem ko druge prizadete različice zahtevajo možnost »spremeni uporabniško geslo«.
O ranljivosti
Napadalec lahko pošlje zlonamerno zahtevo http na stran obrazca z zahtevo za ponastavitev gesla vbrizgati kodo in prevzeti spletno aplikacijo webmin. Glede na poročilo o ranljivosti napadalec ne potrebuje veljavnega uporabniškega imena ali gesla, da bi izkoristil to napako.
Obstoj te značilnosti pomeni, da je nprTa ranljivost je v programu Webmin potencialno prisotna od julija 2018.
Za napad je potrebna odprta omrežna vrata s programom Webmin in dejavnost v spletnem vmesniku funkcije za spreminjanje zastarelega gesla (privzeto je omogočena v gradnjah iz leta 1.890, v drugih različicah pa onemogočena).
Težava je bila odpravljena v posodobitvi 1.930.
Težava je bila odkrita v skriptu password_change.cgi, v katerem se s funkcijo unix_crypt preveri staro geslo, vneseno v spletni obrazec, ki pošlje geslo, prejeto od uporabnika, ne da bi ušlo posebnim znakom.
V repozitoriju git, ta funkcija je povezava na modulu Crypt :: UnixCrypt in ni nevarno, toda v datoteki sourceforge, ki je priložena kodi, se imenuje koda, ki neposredno dostopa do / etc / shadow, vendar to stori s konstrukcijo lupine.
Za napad samo označite simbol «|» v polje s starim geslom in naslednja koda se bo izvajala s korenskimi pravicami na strežniku.
Glede na izjavo razvijalcev Webmin, zlonamerna koda se je nadomeščala zaradi ogrožanja projektne infrastrukture.
Podrobnosti še niso objavljene, zato ni jasno, ali je bil vdor omejen na prevzem nadzora nad računom v Sourceforgeu ali pa je vplival na druge elemente Webminove zbirne in razvojne infrastrukture.
Težava je vplivala tudi na zgradbe Usermin. Trenutno so vse zagonske datoteke obnovljene iz Gita.