Webmin Unauthenticated Remote Code Execution (CVE-2019-15107)

webmin

Webmin是目前功能最强大的基于Web的Unix系统管理工具。管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作。目前Webmin支持绝大多数的Unix系统,这些系统除了各种版本的linux以外还包括:AIX、HPUX、Solaris、Unixware、Irix和FreeBSD等。

影响版本

<=1.920

漏洞描述

Webmin是一个用于管理类Unix系统的管理配置工具,具有Web页面。前提是开启通过旧密码设置新密码,在其找回密码页面中,存在一处无需权限的命令注入漏洞,通过这个漏洞攻击者即可以执行任意系统命令。

参考链接

https://vulhub.org/#/environments/webmin/CVE-2019-15107/
https://www.anquanke.com/post/id/184668
https://blog.csdn.net/qq_43380549/article/details/100011292

漏洞简析

将用户输入的旧密码通过qx直接执行,并将执行结果通过报错打印到返回值。

修复建议

这个漏洞本就类似后门植入,漏洞逻辑不太合理,不要执行用户的输入的旧密码,也不要回显执行结果。官方已出补丁,也可在github上下载相应文件。

复现

Webmin Unauthenticated Remote Code Execution (CVE-2019-15107)_第1张图片

你可能感兴趣的:(web学习)