Schwachstelle in Webmin kann root-Rechte gewähren

Die verbotene Tür öffnet die Webserver-Komponente miniserv.pl. Während des Login-Prozesses hat ein Angreifer die Möglichkeit, mittels eines präparierten User-Namens root-Rechte auf dem Linux/Unix-Rechner zu erlangen. In dem von Dyad Security probierten Test war dies der Benutzer root. Ist eine Attacke erfolgreich, kann der Angreifer vollen root-Zugriff auf das kompromittierte System erhalten. Ein User-Login auf einer solchen Maschine ist nicht notwendig. Lediglich der Zugriff auf den geöffneten miniserv.pl-Port muss vorhanden sein. Default-mäßig ist dies der Port 10000.

Betroffen sind alle Webmin-Versionen unter 1.2.50 und alle Usermin-Versionen unter 1.180. Updates stehen bereits auf der Security-Seite von Webmin bereit. Dyad Security stellt aber auch Patches für die älteren Versionen 1.220, 1.230 und 1.240 zur Verfügung. Wie Sie Webmin installieren, konfigurieren und professionell einsetzen, können Sie online im tecCHANNEL-Artikel „Webmin - Systemkonfiguration“ nachlesen. (jdo)

Sie interessieren sich für Linux? Dann abonnieren Sie doch den kostenlosen Linux-Newsletter von tecCHANNEL. Er wird in der Regel ein Mal pro Woche am Freitag verschickt und enthält nur die für Linux-Anwender relevanten News und Beiträge von tecChannel.de. So sparen Sie Zeit und sind trotzdem voll informiert. Hier geht es zur Anmeldeseite.