Se descubre en Webmin una vulnerabilidad maliciosa de ejecución remota de código que llevaba un año inactiva

El 17 de agosto de 2019, el equipo de Webmin anunció el lanzamiento de Webmin 1.930 y Usermin 1.780. Estas versiones corrigen una vulnerabilidad de ejecución remota de comandos recién descubierta, presente en las versiones 1.890 a 1.920 de Webmin. Esta vulnerabilidad llevaba más de un año presente y fue introducida por un tercero malicioso.

Webmin es una interfaz para administrar sistemas Unix. Como su nombre lo indica, funciona en la web. Webmin te permite administrar un sistema desde la consola o de forma remota.

La vulnerabilidad recién descubierta es interesante porque no está presente en todas las distribuciones de Webmin. Se inyectó código malicioso en una infraestructura de compilación comprometida asociada al punto de distribución de SourceForge. SourceForge es una plataforma de software que distribuye productos de software de código abierto y comerciales a millones de usuarios. Aún no se sabe si la máquina comprometida está en SourceForge o en la máquina de algún colaborador.

Como la vulnerabilidad se limitaba a la distribución de SourceForge, pudo permanecer oculta durante bastante tiempo. Si solo revisaras el archivo problemático en el repositorio de GitHub, nunca sabrías que el proyecto había sido comprometido. Lo más probable es que esto haya limitado el alcance de la vulnerabilidad, pero permitió que persistiera más tiempo del que habría persistido en otras circunstancias. Esta vulnerabilidad se remonta al menos a julio de 2018 (la fecha de lanzamiento de la versión 1.890).

Se encontró una vulnerabilidad de ejecución remota de comandos en las versiones 1.882 a 1.921 de Webmin. La versión 1.890 es la más destacable, porque la instalación predeterminada es vulnerable. Si usas esta versión, es importante que actualices de inmediato. Otras versiones son vulnerables a la ejecución remota de comandos si el desarrollador habilitó el cambio de contraseñas vencidas, opción que no está habilitada de forma predeterminada.

Otro aspecto interesante de este caso es que la vulnerabilidad no se divulgó de forma responsable a los encargados del mantenimiento. Esto pone a los responsables bajo una presión considerable para solucionar el problema con rapidez. Este no es un escenario ideal. Snyk está disponible para ayudar a cualquier investigador de seguridad a divulgar vulnerabilidades de forma responsable y, al mismo tiempo, recibir el reconocimiento correspondiente. Puedes encontrar más información sobre ese programa aquí.

¿Qué debes hacer?

Se recomienda encarecidamente actualizar a la versión 1.930, tanto si usas la versión más vulnerable (1.890) como si usas alguna de las otras versiones comprometidas. Si no puedes actualizar y usas una versión de la 1.900 a la 1.9200, puedes corregir la vulnerabilidad siguiendo estos pasos.

1. Edita /etc/webmin/miniserv.conf y elimina la línea passwd_mode=line.

2. Ejecuta /etc/webmin/restart

Conclusión

Felicitaciones al equipo de Webmin por responder rápidamente al incidente de seguridad. No dejes que sus esfuerzos sean en vano: actualiza tu instalación. ¿Sabes qué vulnerabilidades conocidas hay en tus dependencias de código abierto? Prueba Snyk hoy mismo para encontrarlas y corregirlas. También te recomendamos informarte sobre los ataques de inyección de comandos para entender cómo funcionan, cuáles son los riesgos y cómo prevenirlos.