Қаптамада серверді қашықтан басқару құралдарын қамтамасыз ететін, артқы есік (), ресми жоба құрылыстарында табылған, Sourceforge арқылы және негізгі сайтта. Бэкдор 1.882-ден 1.921-ге дейінгі жинақтарда болды (git репозиторийінде бэкдоры бар код жоқ) және түбірлік құқықтары бар жүйеде аутентификациясыз ерікті қабық командаларын қашықтан орындауға мүмкіндік берді.
Шабуыл үшін Webmin көмегімен ашық желі порты болуы және веб-интерфейстегі ескірген құпия сөздерді өзгерту функциясын белсендіру жеткілікті (1.890 құрастыруларында әдепкі бойынша қосылған, бірақ басқа нұсқаларда өшірілген). Мәселе в 1.930. Бэк есікті блоктаудың уақытша шарасы ретінде /etc/webmin/miniserv.conf конфигурация файлынан “passwd_mode=” параметрін алып тастаңыз. Тестілеуге дайындалды .
Мәселе болды password_change.cgi сценарийінде, веб-пішінде енгізілген ескі құпия сөзді тексеру үшін unix_crypt функциясы, оған пайдаланушыдан алынған құпия сөз арнайы таңбалардан шықпай беріледі. Git репозиторийінде бұл функция Crypt::UnixCrypt модуліне оралған және қауіпті емес, бірақ Sourceforge веб-сайтында берілген код мұрағаты тікелей /etc/shadow кіретін кодты шақырады, бірақ мұны қабық құрылымы арқылы жасайды. Шабуыл жасау үшін ескі құпия сөзбен өріске «|» таңбасын енгізіңіз. және одан кейін келесі код серверде түбірлік құқықтармен орындалады.
туралы Webmin әзірлеушілері, зиянды код жобаның инфрақұрылымының бұзылуы нәтижесінде енгізілген. Егжей-тегжейлер әлі берілген жоқ, сондықтан бұзу Sourceforge тіркелгісін бақылаумен шектелді ме, әлде Webmin әзірлеуінің және инфрақұрылымын құрудың басқа элементтеріне әсер етті ме, белгісіз. Зиянды код мұрағатта 2018 жылдың наурыз айынан бері бар. Мәселе де әсер етті . Қазіргі уақытта барлық жүктеу мұрағаттары Git-тен қайта құрылды.
Ақпарат көзі: opennet.ru