Une vulnérabilité d’exécution de code à distance, malveillante et inactive depuis un an, découverte dans Webmin

Le 17 août 2019, l’équipe Webmin a annoncé la sortie de Webmin 1.930 et Usermin 1.780. Ces versions corrigent une vulnérabilité d’exécution de commandes à distance récemment découverte dans les versions 1.890 à 1.920 de Webmin. Cette vulnérabilité était présente depuis plus d’un an et avait été introduite par un tiers malveillant.

Webmin est une interface d’administration système pour Unix. Comme son nom l’indique, elle est basée sur le Web. Webmin vous permet de gérer un système depuis la console ou à distance.

Cette vulnérabilité récemment découverte est intéressante, car elle n’est pas présente dans toutes les distributions de Webmin. Du code malveillant a été injecté dans une infrastructure de compilation compromise associée au point de distribution SourceForge. SourceForge est une plateforme logicielle qui distribue des produits logiciels open source et commerciaux à des millions d’utilisateurs. On ne sait pas encore si la machine compromise se trouve chez SourceForge ou chez l’un des contributeurs.

Comme la vulnérabilité se limitait à la distribution SourceForge, elle a pu rester cachée assez longtemps. Si vous aviez seulement examiné le fichier problématique dans le dépôt GitHub du projet, vous n’auriez jamais su que celui-ci avait été compromis. Cela a probablement limité la portée de la vulnérabilité, mais lui a aussi permis de persister plus longtemps qu’elle ne l’aurait fait autrement. Cette vulnérabilité remonte au moins à juillet 2018 (date de sortie de la version 1.890).

Une vulnérabilité d’exécution de commandes à distance touche les versions 1.882 à 1.921 de Webmin. La version 1.890 est particulièrement préoccupante, car l’installation par défaut est vulnérable. Si vous utilisez cette version, il est important de la mettre à niveau immédiatement. Les autres versions sont vulnérables à l’exécution de commandes à distance si le développeur a activé la modification des mots de passe expirés, ce qui n’est pas le comportement par défaut.

Autre aspect intéressant de cette affaire : la vulnérabilité n’a pas été divulguée de manière responsable aux responsables de la maintenance. Cela les place sous une pression considérable pour corriger le problème très rapidement. Ce n’est pas une situation idéale. Snyk se fera un plaisir d’aider tout chercheur en sécurité à divulguer correctement des vulnérabilités, tout en lui permettant d’en obtenir la reconnaissance. Vous trouverez plus d’informations sur ce programme ici.

Que devez-vous faire ?

Il est vivement recommandé de passer à la version 1.930, que vous utilisiez la version la plus vulnérable (1.890) ou l’une des autres versions compromises. Si vous ne pouvez pas effectuer la mise à niveau et que vous utilisez une version comprise entre 1.900 et 1.9200, vous pouvez corriger la vulnérabilité en suivant les étapes ci-dessous.

1. Modifiez /etc/webmin/miniserv.conf pour supprimer la ligne passwd_mode=line.

2. Exécutez /etc/webmin/restart

Conclusion

Félicitations à l’équipe Webmin pour avoir réagi rapidement à cet incident de sécurité. Ne réduisez pas ses efforts à néant en omettant de mettre votre installation à niveau. Savez-vous quelles vulnérabilités connues se trouvent dans vos dépendances open source ? Essayez Snyk dès aujourd’hui pour vous aider à les détecter et à les corriger. Nous vous recommandons également de vous informer sur les attaques par injection de commandes afin de comprendre leur fonctionnement, les risques qu’elles présentent et comment les prévenir.