Ua loaʻa kahi backdoor ma Webmin e hiki ai ke komo mamao me nā kuleana kumu.

I ka pūʻolo Webmin, e hāʻawi ana i nā mea hana no ka hoʻokele kikowaena mamao, ʻike ʻia puka hope (CVE-2019-15107), loaʻa i loko o nā hale hana mana, puunaueia ma o Sourceforge a me paipai ʻia ma ka pūnaewele nui. Aia ka backdoor i nā hale mai 1.882 a i 1.921 inclusive (ʻaʻohe code me ka backdoor i loko o ka waihona git) a ua ʻae ʻia nā kauoha shell arbitrary e hoʻokō mamao me ka ʻole o ka hōʻoia ʻana ma kahi ʻōnaehana me nā kuleana kumu.

No ka hoʻouka ʻana, ua lawa ka loaʻa ʻana o kahi awa pūnaewele wehe me Webmin a hoʻāla i ka hana no ka hoʻololi ʻana i nā huaʻōlelo kahiko i ka ʻaoʻao pūnaewele (hiki i ka paʻamau i kūkulu ʻia 1.890, akā paʻa i nā mana ʻē aʻe). Pilikia hoʻopau ʻia в update 1.930. Ma ke ʻano he hana pōkole no ka pale ʻana i ka puka hope, e wehe wale i ka hoʻonohonoho "passwd_mode=" mai ka faila hoʻonohonoho /etc/webmin/miniserv.conf. Hoʻomākaukau ʻia no ka hoʻāʻo ʻana hoʻohana prototype.

ʻO ka pilikia ʻike ʻia i ka password_change.cgi script, kahi e nānā ai i ka ʻōlelo huna kahiko i hoʻokomo ʻia ma ka palapala pūnaewele i ʻ a? ka hana unix_crypt, kahi i hāʻawi ʻia ai ka ʻōlelo huna mai ka mea hoʻohana me ka ʻole e pakele i nā huaʻōlelo kūikawā. Ma ka waihona git kēia hana he ua ʻōwili ʻia a puni ka Crypt :: UnixCrypt module a ʻaʻole pilikia, akā ʻo ka waihona code i hāʻawi ʻia ma ka pūnaewele Sourceforge e kāhea i ke code e komo pololei i /etc/shadow, akā hana kēia me ka hoʻohana ʻana i ka pūpū. No ka hoʻouka ʻana, e hoʻokomo wale i ka hōʻailona "|" ma ke kahua me ka ʻōlelo huna kahiko. a e hoʻokō ʻia kēia code ma hope o ia me nā kuleana kumu ma ke kikowaena.

Nā olelo ʻO nā mea hoʻomohala Webmin, ua hoʻokomo ʻia ka code malicious ma muli o ka hoʻopiʻi ʻia ʻana o ka hana o ka papahana. ʻAʻole i hāʻawi ʻia nā kikoʻī, no laila ʻaʻole maopopo inā ua kaupalena ʻia ka hack i ka mālama ʻana i ka moʻokāki Sourceforge a i ʻole nā ​​​​mea ʻē aʻe o ka hoʻomohala ʻana i ka Webmin a kūkulu i nā ʻōnaehana. Aia ka code malicious i loko o ka waihona mai Malaki 2018. Ua pili pū ka pilikia Kūkulu ʻia ka mea hoʻohana. I kēia manawa, kūkulu hou ʻia nā waihona hoʻoiho āpau mai Git.

Source: opennet.ru