I pakken , der tilbyder midler til fjernadministration af serveren, backdoor (), der er opdaget i de officielle bygninger af projektet, gennem Sourceforge og på hovedsiden. Backdoor'en var til stede i versioner fra 1.882 til 1.921 inklusiv (koden med backdoor'en manglede i git-repositoriet) og gjorde det muligt at udføre vilkårlige shell-kommandoer på systemet med root-rettigheder uden autentificering.
For at udføre angrebet kræves der kun, at der er en åben netværksport med Webmin og aktivitet i webinterfacet for funktionen til at ændre det forældede kodeord (som som standard er aktiveret i versionerne 1.890, men de øvrige versioner har det deaktiveret). Problemet i 1.930. Som en midlertidig foranstaltning til at blokere backdoor'en er det tilstrækkeligt at fjerne indstillingen «passwd_mode=» fra konfigurationsfilen /etc/webmin/miniserv.conf. Til testning er der klargjort .
Problemet blev i scriptet password_change.cgi, hvor funktionen unix_crypt, som modtager det indtastede gamle kodeord fra webformularen, er en wrapper over modulet Crypt::UnixCrypt og udgør ikke en trussel, men i det leverede arkiv med kode på Sourceforge kaldes der kode, der direkte tilgår /etc/shadow, men gør det ved hjælp af shell-konstruktionen. For at udføre angrebet er det tilstrækkeligt at angive pipe-tegnet «|» i feltet med det gamle kodeord, hvorefter den følgende kode vil blive udført med root-rettigheder på serveren.
Ifølge udviklerne af Webmin, hvor den skadelige kode blev indsat som resultat af en kompromittering af projektets infrastruktur. Der gives endnu ikke flere oplysninger, så det er uklart, om hackingen udelukkende omfattede overtagelse af kontrollen med kontoen i Sourceforge eller også involverede andre elementer i udviklings- og byggeri-infrastrukturen for Webmin. Den skadelige kode har været til stede i arkiver siden marts 2018. Problemet har også berørt . I øjeblikket er alle bootarkiver blevet rekonstrueret fra Git.
Kilde: opennet.ru
