V balíčku , který poskytuje prostředky pro vzdálenou správu serveru, zranitelnost (), objevená v oficiálních sestaveních projektu, přes Sourceforge a na hlavní stránce. Zranitelnost byla přítomna v sestaveních od 1.882 do 1.921 včetně (v git-repozitáři kód se zranitelností chyběl) a umožnila vzdálené provádění libovolných shellových příkazů v systému s právy root bez nutnosti autentizace.
Pro útok stačí mít otevřený síťový port s Webmin a aktivitu ve webovém rozhraní funkce pro změnu zastaralého hesla (ve výchozím stavu je zahrnuta v sestaveních 1.890, ale v ostatních verzích je vypnuta). Problém v v 1.930. Jako dočasné opatření pro zablokování zranitelnosti stačí odstranit nastavení „passwd_mode=“ z konfiguračního souboru /etc/webmin/miniserv.conf. Pro testování byl připraven .
Problém byl ve skрипtu password_change.cgi, ve kterém pro ověření zadaného starého hesla ve webovém formuláři funkce unix_crypt, které je předáván zadaný uživatelský heslo bez provedení escapování speciálních znaků. V git-repozitáři tato funkce obaluje modul Crypt::UnixCrypt a nepředstavuje nebezpečí, ale v dodávaném archivu s kódem na stránkách Sourceforge je volán kód, který přímo přistupuje k /etc/shadow, a dělá to pomocí shellové konstrukce. Pro útok stačí zadat do pole se starým heslem znak „|“ a následující kód bude proveden s právy root na serveru.
Podle vývojářů Webminu, byl škodlivý kód implementován v důsledku kompromitace infrastruktur projektu. Podrobnosti zatím nejsou známy, takže není jasné, zda byla hackem ovlivněna pouze správcovská účet na Sourceforge, nebo zda byly postiženy i další prvky vývojové a sestavovací infrastruktury Webminu. Škodlivý kód byl přítomen v archivech od března 2018. Problém se také týkal V současné době byly všechny spustitelné archivy znovu sestaveny z Gitu.
Zdroj: opennet.ru
