FreeBSD: webmin -- 認証されていないリモードコードの実行（ece65d3b-c20c-11e9-8af4-bcaec55be5e5）

critical Nessus プラグイン ID 127954

Language:

概要

リモートのFreeBSDホストに1つ以上のセキュリティ関連の更新プログラムがありません。

説明

Joe Cooper氏による報告:

すべてのリポジトリでWebminバージョン1.930とUserminバージョン1.780をロールアウトしました。このリリースにはいくつかのセキュリティ修正が含まれています。これには、ビルドインフラストラクチャにおいてある時点でWebminおよびUserminに挿入された悪意のあるコードによって引き起こされる可能性がある1つの深刻なものが含まれます。現在、いつどのように挿入されたかを調査中ですが、我々のgithubリポジトリには悪用できる可能性のあるコードが存在していたことはないため、新しいインフラストラクチャでgitソースから再ビルドしました（またその結果には悪意のあるコードが含まれていないことを確認しました）。

これらのリリースの変更ログはまだありませんが、この問題の重大性から速やかに発表することを希望しました。悪意のあるコードを悪用するには、インストールされているWebminで [Webmin]
-> [Webmin Configuration] -> [Authentication] -> [Password expiry policy] が、[Prompt users with expired passwords to enter a new one] に設定されている必要があります。このオプションはデフォルトでは設定されていません。ただしこのオプションを設定すると、リモートでコードが実行される可能性があります。

このリリースは、本日公開されたCVE-2019-15107に対処しています。また、通知を受けたいくつかのXSSの問題にも対処ししています。これらの問題を発見した研究者（別の研究者）に報奨金が与えられました。