I Webmin har en bakdörr hittats som möjliggör fjärråtkomst med root-behörighet.

I paketet Webmin, som tillhandahåller medel för fjärrhantering av servern, har identifierats bakdörr (CVE-2019-15107), som upptäcktes i officiella versioner av projektet, spridna via Sourceforge och rekommenderade på huvudwebbplatsen. Bakdörren fanns i versioner från 1.882 till 1.921 inklusive (i git-repositoriet saknades koden med bakdörren) och tillät fjärråtkomst utan autentisering för att köra godtyckliga shell-kommandon i systemet med root-behörighet.

För att genomföra attacken räcker det med att ha en öppen nätverksport med Webmin och aktiviteten i webbgränssnittet för att byta det föråldrade lösenordet (som som standard är aktiverad i versioner 1.890, men inaktiverad i andra versioner). Problemet har åtgärdats på i version 1.930. Som en tillfällig åtgärd för att blockera bakdörren räcker det att ta bort inställningen "passwd_mode=" från konfigurationsfilen \/etc\/webmin\/miniserv.conf. För testning har en prototyp av ett exploit Problem var.

upptäckt i skriptet password_change.cgi, där för att kontrollera det gamla lösenordet som matas in i webbläsarformuläret används funktionen unix_crypt, som tar emot det lösenord som användaren anger utan att utföra escape av specialtecken. I git-repositoriet är denna funktion ett omslag runt modulen Crypt::UnixCrypt och utgör ingen fara, men i det levererade arkivet på Sourceforge anropas kod som direkt refererar till \/etc\/shadow, men gör det genom en shell-konstruktion. För att genomföra attacken räcker det med att ange tecknet "|" i fältet för det gamla lösenordet och koden efter detta kommer att köras med root-behörighet på servern. Enligt

uttalandet från Webmins utvecklare, har den skadliga koden placerats i systemet på grund av en kompromiss av projektets infrastruktur. Detaljer meddelas för närvarande inte, så det är oklart om intrånget enbart involverade en kapning av kontot på Sourceforge eller också påverkade andra delar av utvecklings- och bygginfrastrukturen för Webmin. Den skadliga koden har funnits i arkiven sedan mars 2018. Problemet berörde även versioner av Usermin . För närvarande har alla installationsarkiv omarbetats från Git.Godkännandet för avveckling av repositories för i686-arkitekturen i Fedora 31

Källa: opennet.ru