CVE-2020-35769

Webmin 1.962 (Windows): błędna obsługa znaków specjalnych w miniserv.pl

CVSS 9.8v3.1pub. 2020-12-29upd. 2024-11-21

Podatność w pliku miniserv.pl w Webmin 1.962 działającym na systemach Windows polega na nieprawidłowej obsłudze znaków specjalnych w argumentach zapytań przekazywanych do programu CGI. Ze względu na krytyczny wynik CVSS 9.8 i brak wymogu uwierzytelnienia, podatność stanowi poważne zagrożenie dla każdego wystawionego na dostęp sieciowy serwera Webmin.

▸ Pokaż oryginał (EN)

miniserv.pl in Webmin 1.962 on Windows mishandles special characters in query arguments to the CGI program.

🤖 Analiza AI

Jak działa

Atakujący może wysłać specjalnie spreparowane zapytanie HTTP zawierające znaki specjalne w argumentach przekazywanych do komponentu CGI obsługiwanego przez miniserv.pl. Na systemach Windows znaki te są nieprawidłowo przetwarzane, co może prowadzić do wykonania nieautoryzowanego kodu. Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie kodu (RCE) na serwerze, a tym samym przejęcie pełnej kontroli nad systemem, w tym naruszenie poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Webmin do wersji zawierającej poprawkę wprowadzoną w commicie 1163f3a7f418f249af64890f4636575e687e9de7 (dostępnym w repozytorium GitHub projektu Webmin). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsu administracyjnego Webmin wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Webmin w wersji 1.962 działający na systemach Microsoft Windows

Uwagi

Podatność dotyczy wyłącznie instalacji Webmin na systemach Windows — specyficzne dla tej platformy zachowanie przy obsłudze znaków specjalnych jest kluczowym czynnikiem umożliwiającym wykorzystanie błędu.