A csomagban , amely távoli szerverkezelést biztosít, hátsóajtó (), amelyet a projekt hivatalos verzióiban észleltek, a Sourceforge-on keresztül terjednek és a főoldalon. A hátsóajtó a 1.882 és 1.921 közötti verziókban volt jelen (a git-repozitóriumban a hátsóajtós kód nem volt megtalálható), és lehetővé tette, hogy jogosultságok nélkül végezzenek el tetszőleges shell-parancsokat a rendszerben root jogokkal.
A támadáshoz elegendő, ha nyitott hálózati port van a Webmin-nel, és aktív a webes felületen az elavult jelszó cseréjének funkciója (alapértelmezés szerint a 1.890-es verziókban be van kapcsolva, de a többi verzióban ki van kapcsolva). A probléma be. 1.930. Ideiglenes megoldásként a hátsóajtó blokkolására elegendő eltávolítani a "passwd_mode=" beállítást a konfigurációs fájlból /etc/webmin/miniserv.conf. Teszteléshez készítettek egy .
A probléma a unix_crypt funkciót használják, amelynek a felhasználótól kapott jelszót továbbítják speciális karakterek escape-elése nélkül. A git-repozitóriumban ez a funkció a Crypt::UnixCrypt modul fölötti burkolatban található, és nem jelent veszélyt, de a Sourceforge-on elérhető kódarchívumban egy olyan kódot hívnak meg, amely közvetlenül eléri a /etc/shadow-t, de ezt shell-konstrukcióval végzi. A támadáshoz elegendő a régi jelszó mezőjébe "|" karaktert beírni, és a mögötte lévő kód root jogokkal fog végrehajtódni a szerveren. a Webmin fejlesztőinek nyilatkozata szerint a rosszindulatú kódot a projekt infrastruktúrájának kompromittálása okozta. A részleteket egyelőre nem közlik, ezért nem világos, hogy a meghekkelt támadás csupán a Sourceforge fiók feletti irányítást jelentette-e, vagy más fejlesztési és összesítési infrastruktúrák elemeit is érintette. A rosszindulatú kód 2018 márciusa óta volt jelen az archívumokban. A probléma a Usermin verzióit is érintette.
A A Runtu XFCE 18.04.3 disztribúció kiadása 🥇A Webmin-ben hátsóajtót találtak, amely lehetővé teszi a távoli root hozzáférést | ProHoster
Forrás: opennet.ru
