CVE-2019-15107
Webmin Command Injection Vulnerability
Beschreibung
CVE-2019-15107 ist eine kritische OS-Command-Injection-Schwachstelle in Webmin, dem weit verbreiteten webbasierten Werkzeug zur Systemadministration. Der Parameter old in password_change.cgi neutralisiert Shell-Metazeichen nicht und erlaubt einem entfernten, nicht authentifizierten Angreifer, beliebige Betriebssystembefehle auf dem Server einzuschleusen und auszuführen. Da der betroffene Codepfad als Root läuft, mündet die Ausnutzung typischerweise in einer vollständigen Serverübernahme, und die Lücke stammt aus bösartigem Code, der in den Webmin-Build eingebracht wurde — faktisch eine Hintertür — in Versionen bis einschließlich 1.920. Mit einem CVSS-Score von 9.8, einem EPSS-Score von 94,5 % (99,99. Perzentil), bestätigter Nutzung in Ransomware-Kampagnen und einer CISA-KEV-Listung gehört CVE-2019-15107 zu den zuverlässigsten ausgenutzten Webmin-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| webmin | webmin | <= 1.920 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154141/Webmin-1.920-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154141/Webmin-Remote-Comman-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154197/Webmin-1.920-password_change.cgi-Backdoor.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154485/Webmin-1.920-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://www.pentest.com.tr/exploits/DEFCON-Webmin-1920-Unauthenticated-Remote-Command-Execution.html(Exploit, Third Party Advisory)
- http://www.webmin.com/security.html(Vendor Advisory)
- https://attackerkb.com/topics/hxx3zmiCkR/webmin-password-change-cgi-command-injection(Third Party Advisory)
- https://www.exploit-db.com/exploits/47230(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-15107(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
In Webmins password_change.cgi wird der Parameter old in einen Betriebssystembefehl übergeben, ohne Shell-Metazeichen ordnungsgemäß zu neutralisieren, sodass die vom Angreifer gelieferte Eingabe als Teil des Befehls interpretiert wird. Dies erlaubt einem nicht authentifizierten Angreifer, beliebige Befehle anzuhängen, die der Server ausführt, was zu vollständiger Remotecodeausführung führt.
Mehr erfahren: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
CVE-2019-15107 hat einen CVSS-3.1-Score von 9.8 (KRITISCH). Sie ist aus der Ferne über das Netzwerk mit geringer Komplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion und kompromittiert Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Servers vollständig, da die eingeschleusten Befehle mit den Rechten des Webmin-Prozesses — typischerweise Root — laufen. Der EPSS-Score von 94,5 % platziert die Schwachstelle im 99,99. Perzentil, was auf eine nahezu sichere Ausnutzungsaktivität hindeutet, und CISA hat diese Schwachstelle als bekanntermaßen in Ransomware-Kampagnen genutzt gekennzeichnet. Webmin wird häufig zur Serververwaltung exponiert, sodass eine nicht authentifizierte Command Injection auf Root-Ebene auf einer internetseitigen Instanz ein unmittelbarer Weg zu vollständiger Serverkompromittierung und Ransomware-Einsatz ist.
Exploit-Reifegrad
CVE-2019-15107 verfügt über eine äußerst ausgereifte Exploit-Landschaft. Öffentlicher Exploit-Code ist weithin verfügbar, darunter das Exploit-DB-Modul und mehrere Packet-Storm-Security-Einträge, und sie ist in gängige Penetrationstest-Frameworks implementiert. CISA bestätigt durch seine KEV-Listung die aktive Ausnutzung und kennzeichnet die Schwachstelle als bekanntermaßen in Ransomware-Kampagnen genutzt, während der EPSS-Score von 94,5 % (99,99. Perzentil) auf eine nahezu sichere Ausnutzung hindeutet. Da die Lücke aus einer Hintertür in den betroffenen Webmin-Builds stammt und ohne Authentifizierung trivial ausnutzbar ist, ist sie ein Favorit automatisierter Scanner und Crimeware-Akteure; jede exponierte, verwundbare Webmin-Instanz sollte als unmittelbar gefährdet betrachtet werden.
Behebung
- Updates gemäß Herstelleranweisungen einspielen, wie es die CISA-KEV-Listung erfordert: Aktualisieren Sie Webmin auf ein gepatchtes Release jenseits von 1.920 (der verwundbare Code wurde in 1.930 entfernt), gemäß dem Webmin-Sicherheits-Advisory.
- Exponieren Sie die Webmin-Oberfläche nicht direkt im Internet — beschränken Sie den Zugriff über Firewall-Regeln, VPN oder IP-Allowlisting, sodass der password_change.cgi-Endpunkt für nicht vertrauenswürdige Clients nicht erreichbar ist.
- Da die Ausnutzung Befehlsausführung auf Root-Ebene gewährt, behandeln Sie jede potenziell kompromittierte Instanz als vollständig durchbrochen: Untersuchen Sie auf Webshells, unautorisierte Cronjobs, neue Konten und Anzeichen eines Ransomware-Einsatzes und bauen Sie bei bestätigter Kompromittierung von bekannt gutem Medium neu auf.
- Überwachen Sie Web- und Systemlogs auf Anfragen an password_change.cgi mit Shell-Metazeichen im Parameter
oldund auf anomale Prozessausführung durch den Webmin-Dienst. - Stellen Sie als langfristige Härtung gegen OS Command Injection sicher, dass Administrationswerkzeuge alle Benutzereingaben validieren und neutralisieren, bevor sie an Shells übergeben werden, bevorzugen Sie APIs, die keine Shell aufrufen, und halten Sie Management-Software auf unterstützten, gepatchten Versionen.
Technische Details
CVE-2019-15107 ist eine OS-Command-Injection-Schwachstelle (CWE-78) in Webmin-Versionen bis einschließlich 1.920. Der Parameter old in password_change.cgi wird in einen Betriebssystembefehl eingebunden, ohne Shell-Metazeichen zu neutralisieren, sodass ein nicht authentifizierter Angreifer zusätzliche Befehle einschleusen kann, die der Server ausführt — und da der Handler mit hohen Rechten läuft, führt dies zu Remotecodeausführung auf Root-Ebene. Die Schwachstelle wurde durch bösartigen Code eingebracht, der dem Webmin-Build hinzugefügt wurde (eine Hintertür), was den Exploit-Pfad deterministisch und zuverlässig macht. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) spiegelt einen über das Netzwerk erreichbaren, gering komplexen, nicht authentifizierten Angriff mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2019-15107 aktiv ausgenutzt?
Ja. CVE-2019-15107 ist im CISA-KEV-Katalog gelistet und als bekanntermaßen in Ransomware-Kampagnen genutzt gekennzeichnet. Der EPSS-Score von 94,5 % (99,99. Perzentil) bestätigt eine nahezu sichere Ausnutzung, und öffentlicher Exploit-Code ist weithin verfügbar, sodass jede exponierte, verwundbare Instanz unmittelbar gefährdet ist.
Welche Produkte sind von CVE-2019-15107 betroffen?
Die Schwachstelle betrifft Webmin-Versionen bis einschließlich 1.920, in denen bösartiger Code im Build die Command Injection in password_change.cgi einbrachte. Sie wurde in Webmin 1.930 behoben.
Wie behebe ich CVE-2019-15107?
Aktualisieren Sie Webmin auf ein gepatchtes Release jenseits von 1.920 (1.930 oder höher). Beschränken Sie den Zugriff auf die Webmin-Oberfläche, sodass sie nicht im Internet exponiert ist, und führen Sie bei Verdacht auf Kompromittierung eine Incident Response durch und bauen Sie von bekannt gutem Medium neu auf.
Wie schwerwiegend ist CVE-2019-15107?
CVE-2019-15107 ist mit einem CVSS-3.1-Score von 9.8 als KRITISCH eingestuft. Sie ermöglicht nicht authentifizierte, entfernte Befehlsausführung auf Root-Ebene und ist nachweislich in Ransomware-Kampagnen genutzt worden — eine der gefährlichsten Webmin-Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.