Í pakkanum , sem býður upp á verkfæri til að stjórna fjarþjónum, bakdyr (), sem finnast í opinberum verkefnabyggingum, í gegnum Sourceforge og á aðalsíðunni. Bakhurðin var til staðar í smíðum frá 1.882 til 1.921 að meðtöldum (enginn kóði með bakhurðinni í git geymslunni) og leyfði að handahófskenndar skel skipanir voru keyrðar úr fjarlægð án auðkenningar á kerfi með rótarréttindi.
Fyrir árás er nóg að hafa opið netgátt með Webmin og virkja aðgerðina til að breyta úreltum lykilorðum í vefviðmótinu (sjálfgefið virkt í builds 1.890, en óvirkt í öðrum útgáfum). Vandamál в 1.930. Sem tímabundin ráðstöfun til að loka á bakdyrnar skaltu einfaldlega fjarlægja “passwd_mode=” stillinguna úr /etc/webmin/miniserv.conf stillingarskránni. Tilbúinn fyrir próf .
Vandamálið var í password_change.cgi forskriftinni, þar sem athuga skal gamla lykilorðið sem var slegið inn á vefforminu unix_crypt aðgerðin, sem lykilorðið sem berast frá notandanum er sent án þess að sleppa sértáknum. Í git geymslunni er þessi aðgerð vafið um Crypt::UnixCrypt eininguna og er ekki hættulegt, en kóðasafnið sem er á Sourceforge vefsíðunni kallar á kóða sem hefur beinan aðgang að /etc/shadow, en gerir þetta með því að nota skel smíði. Til að ráðast á, sláðu bara inn táknið "|" í reitinn með gamla lykilorðinu. og eftirfarandi kóða eftir hann verður keyrður með rótarréttindum á þjóninum.
Á Webmin verktaki, illgjarn kóðinn var settur inn vegna þess að innviði verkefnisins var í hættu. Upplýsingar hafa ekki enn verið veittar, svo það er ekki ljóst hvort hakkið var takmarkað við að ná stjórn á Sourceforge reikningnum eða haft áhrif á aðra þætti Webmin þróunar og uppbyggingarinnviða. Illgjarn kóðinn hefur verið til staðar í skjalasafninu síðan í mars 2018. Vandamálið hafði einnig áhrif . Eins og er eru öll niðurhalssöfn endurbyggð frá Git.
Heimild: opennet.ru