Bir kaç gün önce arka kapı olarak tanımlanan bir güvenlik açığını azaltmak için Webmin'in yeni bir sürümü yayınlandı Sourceforge aracılığıyla dağıtılan projenin resmi versiyonlarında bulunan (CVE-2019-15107).
Keşfedilen arka kapı 1.882'den 1.921'e kadar olan versiyonlarda mevcuttu kapsayıcı (git deposunda bir arka kapı ile kod yoktu) ve yetkilendirme olmadan kök ayrıcalıklı bir sistemde rasgele kabuk komutlarını yürütmenize izin verildi.
Webmin hakkında
Webmin'den habersiz olanlar için bunu bilmeleri gerekir Bu, Linux sistemlerini kontrol etmek için web tabanlı bir kontrol panelidir. Sunucunuzu yönetmek için sezgisel ve kullanımı kolay bir arayüz sağlar. Webmin'in son sürümleri de Windows sistemlerinde kurulabilir ve çalıştırılabilir.
Webmin ile ortak paket ayarlarını anında değiştirebilirsinizweb sunucuları ve veritabanları dahil, kullanıcıları, grupları ve yazılım paketlerini yönetme dahil.
Webmin, kullanıcının çalışan işlemlerin yanı sıra kurulu paketler hakkındaki ayrıntıları görmesine olanak tanır, sistem günlük dosyalarını yönetmek, bir ağ arayüzünün yapılandırma dosyalarını düzenlemek, güvenlik duvarı kuralları eklemek, saat dilimini ve sistem saatini yapılandırmak, CUPS aracılığıyla yazıcılar eklemek, yüklü Perl modüllerini listelemek, bir SSH veya Sunucu DHCP yapılandırmak ve DNS etki alanı kayıt yöneticisi.
Webmin 1.930 arka kapıyı ortadan kaldırmak için geldi
Webmin 1.930 sürümünün yeni sürümü, uzaktan kod yürütme güvenlik açığını gidermek için piyasaya sürüldü. Bu güvenlik açığının genel kullanıma açık yararlanma modülleri vardır, gibi birçok sanal UNIX yönetim sistemini riske atar.
Güvenlik danışma belgesi, 1.890 sürümünün (CVE-2019-15231) varsayılan yapılandırmada savunmasız olduğunu belirtirken, etkilenen diğer sürümler "kullanıcı şifresini değiştir" seçeneğinin etkinleştirilmesini gerektirir.
Güvenlik açığı hakkında
Bir saldırgan, parola sıfırlama isteği formu sayfasına kötü amaçlı bir http isteği gönderebilir kod enjekte etmek ve webmin web uygulamasını devralmak için. Güvenlik açığı raporuna göre, bir saldırganın bu açıktan yararlanmak için geçerli bir kullanıcı adı veya parolaya ihtiyacı yoktur.
Bu özelliğin varlığı, eBu güvenlik açığı potansiyel olarak Webmin'de Temmuz 2018'den beri mevcuttur.
Saldırı, Webmin ile açık bir ağ bağlantı noktasının varlığını gerektirir ve işlevin web arayüzündeki etkinliği eski bir parolayı değiştirmek için (varsayılan olarak 1.890 sürümlerinde etkinleştirilmiştir, ancak diğer sürümlerde devre dışı bırakılmıştır).
Sorun 1.930 güncellemesinde düzeltildi.
Sorun password_change.cgi komut dosyasında keşfedildi, web formuna girilen eski şifreyi doğrulamak için unix_crypt işlevinin kullanıldığı, kullanıcıdan alınan şifreyi özel karakterlerden kaçmadan gönderen.
Git deposunda, bu işlev Crypt :: UnixCrypt modülündeki bir bağlantıdır ve tehlikeli değildir, ancak kodla birlikte sağlanan sourceforge dosyasında, / etc / shadow dosyasına doğrudan erişen, ancak bunu kabuk yapısıyla yapan bir kod denir.
Saldırmak için «|» sembolünü belirtmeniz yeterlidir. sahada eski şifreyle ve aşağıdaki kod sunucuda root ayrıcalıklarıyla çalışacaktır.
Webmin geliştiricilerinden yapılan açıklamaya göre, kötü niyetli kod, proje altyapısının tehlikeye girmesi sonucunda yerini alıyordu.
Ayrıntılar henüz açıklanmadı, bu nedenle saldırının Sourceforge'daki bir hesabın kontrolünü ele geçirmekle mi sınırlı olduğu yoksa Webmin'in montaj ve geliştirme altyapısının diğer unsurlarını mı etkilediği belli değil.
Sorun, Usermin yapılarını da etkiledi. Şu anda tüm önyükleme dosyaları Git'ten yeniden oluşturulmuştur.