Eine seit einem Jahr vorhandene, ruhende Schwachstelle zur Ausführung von Remote-Code in Webmin entdeckt

Am 17. August 2019 kündigte das Webmin-Team die Veröffentlichung von Webmin 1.930 und Usermin 1.780 an. Diese Versionen beheben eine neu entdeckte Schwachstelle zur Ausführung von Remote-Befehlen, die in den Webmin-Versionen 1.890 bis 1.920 gefunden wurde. Diese Schwachstelle war seit mehr als einem Jahr vorhanden und wurde durch einen böswilligen Dritten eingeschleust.

Webmin ist eine Schnittstelle zur Systemadministration für Unix. Wie der Name schon sagt, ist sie webbasiert. Mit Webmin können Sie ein System über die Konsole oder per Fernzugriff verwalten.

Die neu entdeckte Schwachstelle ist interessant, weil sie nicht in allen Webmin-Distributionen vorhanden ist. Bösartiger Code wurde in eine kompromittierte Infrastruktur für Builds eingeschleust, die mit der Sourceforge-Vertriebsplattform verbunden war. Sourceforge ist eine Softwareplattform, die Open-Source- und kommerzielle Softwareprodukte an Millionen von Nutzern verteilt. Es ist noch nicht bekannt, ob der kompromittierte Rechner bei Sourceforge oder auf dem Rechner eines Mitwirkenden stand.

Da die Schwachstelle auf die Sourceforge-Distribution beschränkt war, konnte sie lange verborgen bleiben. Wenn Sie nur die problematische Datei im GitHub-Repository des Projekts überprüft hätten, wäre Ihnen die Kompromittierung des Projekts nicht aufgefallen. Wahrscheinlich wurde dadurch die Verbreitung der Schwachstelle begrenzt, gleichzeitig konnte sie aber länger bestehen bleiben, als es sonst der Fall gewesen wäre. Die Schwachstelle geht mindestens auf Juli 2018 zurück (das Veröffentlichungsdatum von Version 1.890).

In den Webmin-Versionen 1.882 bis 1.921 wurde eine Schwachstelle zur Ausführung von Remote-Befehlen gefunden. Besonders interessant ist Version 1.890, da die Standardinstallation verwundbar ist. Wenn Sie diese Version verwenden, sollten Sie sie sofort aktualisieren. Andere Versionen sind für die Ausführung von Remote-Befehlen verwundbar, wenn der Entwickler das Ändern abgelaufener Passwörter aktiviert hat. Dies ist standardmäßig nicht der Fall.

Ein weiterer bemerkenswerter Aspekt dieses Falls ist, dass die Schwachstelle nicht verantwortungsvoll an die Verantwortlichen gemeldet wurde. Dadurch gerieten diese unter erheblichen Druck, das Problem sehr schnell zu beheben. Das ist kein ideales Szenario. Snyk unterstützt Sicherheitsforscher gern dabei, Schwachstellen ordnungsgemäß zu melden und dafür Anerkennung zu erhalten. Weitere Informationen zu diesem Programm finden Sie hier.

Was sollten Sie tun?

Ein Upgrade auf Version 1.930 wird dringend empfohlen, unabhängig davon, ob Sie die besonders anfällige Version 1.890 oder eine der anderen kompromittierten Versionen verwenden. Falls Sie kein Upgrade durchführen können und Version 1.900 bis 1.9200 verwenden, können Sie die Schwachstelle wie folgt beheben.

1. Bearbeiten Sie /etc/webmin/miniserv.conf und entfernen Sie die Zeile passwd_mode=line.

2. Führen Sie /etc/webmin/restart aus.

Fazit

Glückwunsch an das Webmin-Team für die schnelle Reaktion auf den Sicherheitsvorfall. Lassen Sie die Mühe nicht vergeblich sein und versäumen Sie es nicht, Ihre Installation zu aktualisieren. Wissen Sie, welche bekannten Schwachstellen in Ihren Open-Source-Abhängigkeiten stecken? Testen Sie Snyk noch heute, um Schwachstellen zu finden und zu beheben. Außerdem empfehlen wir Ihnen, sich über Angriffe durch Command Injection zu informieren, um zu verstehen, wie sie funktionieren, welche Risiken bestehen und wie Sie sie verhindern können.