Ang usa ka backdoor nakit-an sa Webmin nga nagtugot sa hilit nga pag-access nga adunay mga katungod sa gamut.

Sa putos Webmin, nga naghatag mga himan alang sa pagdumala sa layo nga server, giila likod nga pultahan (CVE-2019-15107), nga makita sa opisyal nga proyekto nga gitukod, giapod-apod pinaagi sa Sourceforge ug girekomendar sa main site. Ang backdoor anaa sa mga build gikan sa 1.882 ngadto sa 1.921 inclusive (walay code nga adunay backdoor sa git repository) ug gitugotan ang arbitraryong shell commands nga ipatuman sa layo nga walay authentication sa sistema nga adunay root rights.

Alang sa usa ka pag-atake, igo na nga adunay usa ka bukas nga pantalan sa network nga adunay Webmin ug i-aktibo ang function alang sa pagbag-o sa mga outdated nga password sa interface sa web (gipaandar pinaagi sa default sa pagtukod sa 1.890, apan gipugngan sa ubang mga bersyon). Problema giwagtang в update 1.930. Isip usa ka temporaryo nga lakang aron babagan ang backdoor, kuhaa lang ang "passwd_mode=" setting gikan sa /etc/webmin/miniserv.conf configuration file. Andam alang sa pagsulay pahimuslan ang prototype.

Ang problema mao nadiskobrehan sa password_change.cgi script, diin susihon ang daan nga password nga gisulod sa web nga porma gigamit ang unix_crypt function, diin ang password nga nadawat gikan sa user gipasa nga dili makaikyas sa mga espesyal nga karakter. Sa git repository kini nga function Kini mao ang giputos sa Crypt :: UnixCrypt module ug dili delikado, apan ang code archive nga gihatag sa Sourceforge nga website nagtawag sa code nga direktang nag-access sa /etc/shadow, apan kini gamit ang shell construct. Sa pag-atake, isulod lang ang simbolo nga “|” sa field nga adunay daan nga password. ug ang mosunod nga code human kini ipatuman uban ang mga katungod sa gamut sa server.

Pinaagi sa pamahayag Webmin developers, ang malisyoso nga code gisal-ot isip resulta sa imprastraktura sa proyekto nga nakompromiso. Ang mga detalye wala pa gihatag, mao nga dili klaro kung ang hack limitado sa pagkontrol sa Sourceforge account o naapektuhan ang ubang mga elemento sa pag-uswag sa Webmin ug pagtukod sa imprastraktura. Ang malisyoso nga code naa sa archive sukad Marso 2018. Naapektuhan usab ang problema Nagtukod ang Usermin. Sa pagkakaron, ang tanan nga mga archive sa pag-download gitukod pag-usab gikan sa Git.

Source: opennet.ru