Webmin Unauthenticated Remote Code Execution (CVE-2019-15107)

webmin

Webmin是目前功能最强大的基于Web的Unix系统管理工具。管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作。目前Webmin支持绝大多数的Unix系统，这些系统除了各种版本的linux以外还包括：AIX、HPUX、Solaris、Unixware、Irix和FreeBSD等。

影响版本

<=1.920

漏洞描述

Webmin是一个用于管理类Unix系统的管理配置工具，具有Web页面。前提是开启通过旧密码设置新密码，在其找回密码页面中，存在一处无需权限的命令注入漏洞，通过这个漏洞攻击者即可以执行任意系统命令。

参考链接

https://vulhub.org/#/environments/webmin/CVE-2019-15107/
https://www.anquanke.com/post/id/184668
https://blog.csdn.net/qq_43380549/article/details/100011292

漏洞简析

将用户输入的旧密码通过qx直接执行，并将执行结果通过报错打印到返回值。

修复建议

这个漏洞本就类似后门植入，漏洞逻辑不太合理，不要执行用户的输入的旧密码，也不要回显执行结果。官方已出补丁，也可在github上下载相应文件。

复现