CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2019-15107

Command Injection w Webmin <=1.920 — nieautoryzowane RCE

CVSS 9.8v3.1pub. 2019-08-16upd. 2026-08-06

W Webmin w wersjach do 1.920 włącznie odkryto podatność typu command injection w parametrze 'old' pliku password_change.cgi. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych z uprawnieniami serwera Webmin.

▸ Pokaż oryginał (EN)

An issue was discovered in Webmin <=1.920. The parameter old in password_change.cgi contains a command injection vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji parametru 'old' przekazywanego do skryptu password_change.cgi. Atakujący może wstrzyknąć do tego parametru złośliwe polecenia systemowe, które zostaną wykonane przez serwer bez konieczności wcześniejszego uwierzytelnienia. Ze względu na wektor sieciowy (AV:N) i brak wymaganych uprawnień (PR:N, UI:N), exploit może być przeprowadzony zdalnie przez dowolnego użytkownika mającego dostęp do interfejsu Webmin.

Skutki

Atakujący uzyskuje możliwość pełnego zdalnego wykonania kodu (RCE) na serwerze — może odczytywać i modyfikować dane, uzyskać dostęp do poufnych informacji oraz całkowicie przejąć kontrolę nad systemem.

Mitygacja

Należy natychmiast zaktualizować Webmin do wersji wyższej niż 1.920. Patche dostępne są u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu Webmin wyłącznie do zaufanych adresów IP na poziomie firewall.

Kogo dotyczy

Webmin w wersjach 1.920 i wcześniejszych

Uwagi

Podatność jest aktywnie exploitowana (CISA KEV). Publicznie dostępne są liczne exploity, w tym eksploatacja przez nieuwierzytelnionego atakującego, co znacząco podnosi ryzyko. Referencje wskazują również na możliwą obecność backdoora w skrypcie password_change.cgi.