Webminで発見された、1年以上潜伏していた悪意あるリモートコード実行の脆弱性

2019年8月17日、WebminチームはWebmin 1.930およびUsermin 1.780のリリースを発表しました。これらのリリースでは、Webminのバージョン1.890から1.920で見つかった新たなリモートコマンド実行の脆弱性に対処しています。この脆弱性は1年以上前から存在しており、悪意ある第三者によって持ち込まれたものです。

Webminは、Unixのシステム管理用インターフェースです。名前のとおり、Webベースで動作します。Webminを使うと、コンソールから、またはリモートでシステムを管理できます。

今回新たに発見された脆弱性が興味深いのは、Webminのすべてのディストリビューションに存在するわけではない点です。SourceForgeの配布サイトに関連する、侵害されたビルド環境に悪意あるコードが挿入されていました。SourceForgeは、オープンソースと商用の両方のソフトウェア製品を何百万人ものユーザーに配布するソフトウェアプラットフォームです。侵害されたマシンがSourceForge側にあったのか、コントリビューターのマシンにあったのかは、まだ明らかになっていません。

この脆弱性はSourceForgeの配布に限られていたため、かなり長い間、発見されずにいました。GitHubリポジトリ内の問題のあるファイルだけを確認しても、プロジェクトが侵害されていたことには気づけなかったでしょう。この限定的な影響範囲によって脆弱性の拡散は抑えられた可能性が高い一方で、そうでなければ起こり得なかったほど長く脆弱性が残ることにもつながりました。この脆弱性は、少なくとも2018年7月（バージョン1.890のリリース時）までさかのぼります。

Webminのバージョン1.882から1.921で、リモートコマンド実行の脆弱性が見つかりました。特に注目すべきなのはバージョン1.890です。デフォルトのインストール状態で脆弱性の影響を受けるためです。このバージョンを使用している場合は、すぐにアップグレードしてください。他のバージョンも、開発者が期限切れパスワードの変更を有効にしていると、リモートコマンド実行の脆弱性の影響を受けます。これはデフォルトの設定ではありません。

今回の事例でもう一つ注目すべきなのは、脆弱性がメンテナーに責任ある形で開示されなかったことです。その結果、メンテナーは問題を非常に迅速に修正しなければならないという大きなプレッシャーにさらされます。これは望ましい状況ではありません。Snykは、セキュリティ研究者が適切に脆弱性を開示し、研究者が功績を認められるよう支援します。このプログラムの詳細はこちらをご覧ください。

何をすべきでしょうか？

最も脆弱なバージョン（1.890）を使用している場合も、その他の侵害されたバージョンを使用している場合も、1.930へのアップグレードを強く推奨します。アップグレードできず、バージョン1.900から1.9200を使用している場合は、以下の手順で脆弱性を修正できます。

1. /etc/webmin/miniserv.confを編集し、passwd_mode=lineの行を削除します。

2. /etc/webmin/restartを実行します。

まとめ

セキュリティインシデントに迅速に対応したWebminチームに敬意を表します。アップグレードを怠って、その努力を無駄にしないでください。オープンソースの依存関係に既知の脆弱性がないか把握できていますか？今すぐSnykをお試しください。脆弱性の発見と修正に役立ちます。また、コマンドインジェクション攻撃の仕組みやリスク、対策を理解するために、コマンドインジェクションについて学ぶこともおすすめします。