Nel pacchetto , che fornisce strumenti per la gestione remota del server, una backdoor (), trovata nelle versioni ufficiali del progetto, attraverso Sourceforge e sul sito principale. La backdoor era presente nelle versioni dalla 1.882 alla 1.921 inclusa (nel repository git il codice con la backdoor era assente) e permetteva di eseguire comandi shell arbitrari nel sistema con diritti di root senza necessità di autenticazione.
Per attaccare è sufficiente avere una porta di rete aperta con Webmin e un'attività nell'interfaccia web della funzione di cambio della password scaduta (attivata per impostazione predefinita nelle versioni 1.890, ma disattivata nelle altre). Il problema in 1.930. Come misura temporanea per bloccare la backdoor, è sufficiente rimuovere l'impostazione "passwd_mode=" dal file di configurazione /etc/webmin/miniserv.conf. È stato preparato .
Il problema è stato nello script password_change.cgi, in cui per verificare la vecchia password inserita nel modulo web la funzione unix_crypt, a cui viene passata la password fornita dall'utente senza eseguire l'escaping dei caratteri speciali. Nel repository git, questa funzione è un wrapper sul modulo Crypt::UnixCrypt e non rappresenta un pericolo, ma nell'archivio del codice fornito sul sito Sourceforge viene richiamato un codice che accede direttamente a /etc/shadow, ma lo fa utilizzando una costruzione shell. Per attaccare è sufficiente inserire nel campo della vecchia password il carattere "|" e il codice successivo sarà eseguito con diritti di root sul server.
Secondo dichiarazione degli sviluppatori di Webmin, il codice malevolo è stato inserito a seguito della compromissione dell'infrastruttura del progetto. Al momento non vengono forniti dettagli, quindi non è chiaro se l'attacco si è limitato alla presa di controllo dell'account su Sourceforge o ha coinvolto altri elementi dell'infrastruttura di sviluppo e compilazione di Webmin. Il codice malevolo era presente negli archivi da marzo 2018. Il problema ha riguardato anche . Attualmente tutti gli archivi di avvio sono stati ricostruiti da Git.
Fonte: opennet.ru
