נמצאה דלת אחורית ב-Webmin המאפשרת גישה מרחוק עם זכויות שורש.

בחבילה Webmin, המספק כלים לניהול שרתים מרחוק, מזוהה דלת אחורית (CVE-2019-15107), נמצא בבניית הפרויקט הרשמי, מופץ דרך Sourceforge ו מוּמלָץ באתר הראשי. הדלת האחורית הייתה קיימת ב-builds מ-1.882 עד 1.921 כולל (לא היה קוד עם הדלת האחורית במאגר git) ואיפשרה להפעיל פקודות מעטפת שרירותיות מרחוק ללא אימות במערכת עם זכויות שורש.

להתקפה, די ביציאת רשת פתוחה עם Webmin ולהפעיל את הפונקציה לשינוי סיסמאות מיושנות בממשק האינטרנט (מופעל כברירת מחדל ב-builds 1.890, אך מושבת בגרסאות אחרות). בְּעָיָה חוסלו в עדכון 1.930. כאמצעי זמני לחסימת הדלת האחורית, פשוט הסר את ההגדרה "passwd_mode=" מקובץ התצורה /etc/webmin/miniserv.conf. מוכן לבדיקה לנצל אב טיפוס.

הבעיה הייתה גילה בסקריפט password_change.cgi, שבו ניתן לבדוק את הסיסמה הישנה שהוזנה בטופס האינטרנט משמש פונקציית unix_crypt, שאליה מועברת הסיסמה המתקבלת מהמשתמש מבלי לברוח לתווים מיוחדים. במאגר git פונקציה זו זה עוטף את מודול Crypt::UnixCrypt ואינו מסוכן, אך ארכיון הקודים המסופקים באתר Sourceforge קורא לקוד שניגש ישירות ל-/etc/shadow, אך עושה זאת באמצעות מבנה מעטפת. כדי לתקוף, פשוט הזן את הסמל "|" בשדה עם הסיסמה הישנה. והקוד הבא אחריו יבוצע עם זכויות שורש בשרת.

על הצהרה מפתחי Webmin, הקוד הזדוני הוכנס כתוצאה מפגיעה בתשתית הפרויקט. פרטים עדיין לא נמסרו, כך שלא ברור אם הפריצה הוגבלה להשתלטות על חשבון Sourceforge או השפיעה על אלמנטים אחרים בפיתוח ובניית תשתית Webmin. הקוד הזדוני קיים בארכיון מאז מרץ 2018. הבעיה השפיעה גם Usermin בונה. נכון לעכשיו, כל ארכיוני ההורדות נבנים מחדש מ-Git.

מקור: OpenNet.ru