রিমোট রুট অ্যাক্সেসের অনুমতি দিয়ে ওয়েবমিনে ব্যাকডোর পাওয়া গেছে

প্যাকেজে Webmin, যা দূরবর্তী সার্ভার পরিচালনার জন্য সরঞ্জাম সরবরাহ করে, চিহ্নিত পিছনের দরজা (জন্য CVE-2019-15107), অফিসিয়াল প্রকল্প বিল্ড পাওয়া যায়, বিতরণ করা Sourceforge এর মাধ্যমে এবং প্রস্তাবিত প্রধান সাইটে। ব্যাকডোরটি 1.882 থেকে 1.921 পর্যন্ত বিল্ডে উপস্থিত ছিল (গিট রিপোজিটরিতে ব্যাকডোরের সাথে কোনও কোড ছিল না) এবং রুট অধিকার সহ একটি সিস্টেমে প্রমাণীকরণ ছাড়াই নির্বিচারে শেল কমান্ডগুলিকে দূরবর্তীভাবে কার্যকর করার অনুমতি দেয়।

আক্রমণের জন্য, ওয়েবমিনের সাথে একটি ওপেন নেটওয়ার্ক পোর্ট থাকা এবং ওয়েব ইন্টারফেসে পুরানো পাসওয়ার্ড পরিবর্তন করার জন্য ফাংশনটি সক্রিয় করা যথেষ্ট (বিল্ড 1.890 এ ডিফল্টরূপে সক্ষম, তবে অন্যান্য সংস্করণে অক্ষম)। সমস্যা নির্মূল в আপডেটের 1.930। ব্যাকডোর ব্লক করার জন্য একটি অস্থায়ী ব্যবস্থা হিসাবে, /etc/webmin/miniserv.conf কনফিগারেশন ফাইল থেকে "passwd_mode=" সেটিংসটি সরান। পরীক্ষার জন্য প্রস্তুত প্রোটোটাইপ শোষণ.

সমস্যা ছিল আবিষ্কৃত password_change.cgi স্ক্রিপ্টে, যেখানে ওয়েব ফর্মে প্রবেশ করা পুরানো পাসওয়ার্ড চেক করতে হবে ব্যবহৃত হয় ইউনিক্স_ক্রিপ্ট ফাংশন, যেখানে ব্যবহারকারীর কাছ থেকে প্রাপ্ত পাসওয়ার্ড বিশেষ অক্ষর ছাড়াই পাস করা হয়। গিট রিপোজিটরিতে এই ফাংশন এটা হয় Crypt::UnixCrypt মডিউলের চারপাশে আবৃত এবং বিপজ্জনক নয়, কিন্তু Sourceforge ওয়েবসাইটে প্রদত্ত কোড সংরক্ষণাগারটি কোড কল করে যা সরাসরি /etc/shadow অ্যাক্সেস করে, কিন্তু এটি একটি শেল নির্মাণ ব্যবহার করে করে। আক্রমণ করতে, পুরানো পাসওয়ার্ড দিয়ে ক্ষেত্রের মধ্যে শুধু “|” চিহ্নটি প্রবেশ করান। এবং নিম্নলিখিত কোডটি সার্ভারে রুট অধিকার সহ কার্যকর করা হবে।

উপর আবেদন ওয়েবমিন ডেভেলপাররা, প্রকল্পের পরিকাঠামোর সাথে আপস করার ফলে দূষিত কোডটি ঢোকানো হয়েছিল। বিশদ বিবরণ এখনও প্রদান করা হয়নি, তাই এটি স্পষ্ট নয় যে হ্যাকটি সোর্সফোর্জ অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার মধ্যে সীমাবদ্ধ ছিল নাকি ওয়েবমিন বিকাশের অন্যান্য উপাদানগুলিকে প্রভাবিত করেছিল এবং অবকাঠামো তৈরি করেছিল৷ দূষিত কোডটি মার্চ 2018 থেকে আর্কাইভে উপস্থিত রয়েছে। সমস্যাও প্রভাব ফেলেছে ইউজারমিন তৈরি করে. বর্তমানে, সমস্ত ডাউনলোড সংরক্ষণাগার গিট থেকে পুনর্নির্মাণ করা হয়েছে।

উত্স: opennet.ru