Webmin에서 루트 권한으로 원격 액세스를 허용하는 백도어가 발견되었습니다.

패키지 Webmin, 원격 서버 관리를 위한 도구를 제공합니다. 식별 뒷문 (CVE-2019-15107), 공식 프로젝트 빌드에서 찾을 수 있습니다. 분산 Sourceforge를 통해 추천 메인 사이트에서. 백도어는 1.882부터 1.921까지의 빌드에 존재했으며(git 저장소에 백도어가 있는 코드가 없음) 루트 권한이 있는 시스템에서 인증 없이 임의의 셸 명령이 원격으로 실행될 수 있도록 허용했습니다.

공격의 경우 Webmin을 사용하여 네트워크 포트를 열어두고 웹 인터페이스에서 오래된 비밀번호를 변경하는 기능을 활성화하면 충분합니다(빌드 1.890에서는 기본적으로 활성화되어 있지만 다른 버전에서는 비활성화되어 있음). 문제 제거 в 갱신 1.930. 백도어를 차단하기 위한 임시 조치로 /etc/webmin/miniserv.conf 구성 파일에서 "passwd_mode=" 설정을 제거하면 됩니다. 테스트 준비 완료 프로토타입을 악용하다.

문제는 탐지 된 웹 양식에 입력된 이전 비밀번호를 확인하는 비밀번호_change.cgi 스크립트에서 사용 된 사용자로부터 받은 비밀번호를 특수 문자를 이스케이프하지 않고 전달하는 unix_crypt 함수. git 저장소에서 이 함수는 이 Crypt::UnixCrypt 모듈을 감싸고 위험하지 않습니다. 그러나 Sourceforge 웹사이트에 제공된 코드 아카이브는 /etc/shadow에 직접 액세스하는 코드를 호출하지만 이를 쉘 구성을 사용하여 수행합니다. 공격하려면 기존 비밀번호가 있는 필드에 "|" 기호를 입력하면 됩니다. 서버에서 루트 권한으로 실행된 후 다음 코드가 실행됩니다.

에 성명 Webmin 개발자 여러분, 프로젝트 인프라가 손상되어 악성 코드가 삽입되었습니다. 자세한 내용은 아직 제공되지 않았으므로 해킹이 Sourceforge 계정 제어에만 국한되었는지 아니면 Webmin 개발 및 빌드 인프라의 다른 요소에 영향을 미쳤는지 확실하지 않습니다. 해당 악성코드는 2018년 XNUMX월부터 아카이브에 존재했다. 문제도 영향을 받음 Usermin 빌드. 현재 모든 다운로드 아카이브는 Git에서 재구성됩니다.

출처 : opennet.ru