1.920版前的Webmin:Unauthenticated RCE (未經驗證的遠端程式碼執行漏洞)

這個0day攻擊漏洞被公告在@DEFCON AppSec Village

開發商已經修復此漏洞,請將webmin更新至1.930版。
Exploit-DB Link
CVE-Mitre Link

下載 defcon_webmin_unauth_rce.rb


在webmin介面中,必須允許「user password change」利用漏洞,這是唯一的條件。許多webmin管理器都支援下述功能,允許用戶使用舊密碼重新設置為新密碼。讓我們仔細看看這情形,在研究webmin程式時,我注意到一些有趣的.cgi檔案,其中一個是「password_change.cgi」。

此檔案的參數要求只有一個,就是將「miniserv.conf」設定檔中的「passwd_mode」值設為2。

所以管理員該如何啟動這設定?我們慢慢看下去…

在「Webmin> Webmin Configuration> Authentication」,應該檢查「Prompt users with expired passwords to enter a new one (提醒使用舊密碼的用戶設置新密碼)」。這就代表著將「miniserv.conf」中的「passwd_mode」值設為2。

參數值設定好之後,用戶可藉由驗證舊密碼來更改到期的密碼。那麼,漏洞到底在哪裡?我們回到「password_change.cgi」看看。

「password_change.cgi」會將舊密碼發送到「acl / acl-lib.pl」中的「encrypt_password」函數。

這個函數會呼叫另外一個函數「unix_crypt」。

而另外一邊,「unix_crypt」這函數又會被「Validate old password (驗證舊密碼)」呼叫。

這時候,我們利用驗證舊密碼的時候,透過讀取shadow檔使用「vertical bar (|)」。讓我們利用burp suite發送請求來查看一下。

我們發送一個帶有一般「POST」資料請求,並自然給出錯誤訊息「Failed to change password: The current password is incorrect (無法更改密碼:當前密碼不正確)」。

漏洞完全就藏在「舊」參數中。

用戶名稱、舊密碼或其他資訊是否正確根本無關緊要。

「password_change.cgi」檔會檢查伺服器上「舊」參數的資訊,甚至不會檢查用戶名稱是否正確與否。

我們將使用「vertical bar (|)」,並嘗試在伺服器上執行不同指令。

誠如結果所示,伺服器會執行「ifconfig」指令並顯示輸出。

現在我們將發送一個惡意payload參數到伺服器並接收shell session。

我會將利用「netcat」這個payload參數來證明,因為我已經知道「netcat」已存在於伺服器上。

正如大家所見,收到了shell。當我們執行「pwd」指令,我們可以看到「acl」資料夾正在執行惡意payload參數,因為這裡呼叫了這個函數。

原文出處

 

You may also like...

發佈留言