Kritische Sicherheitslücke in Webmin

Präparierter Login-Name kann Root-Rechte gewähren. Dyad Security warnt vor einer kritischen Sicherheitslücke in Webmin und Usermin, mit der Angreifer Root-Rechte auf Server erlangen können, die mit der Server-Administrationssoftware ausgestattet sind.

30. November 2005 um 12:12 Uhr / Jens Ihlenfeld

Es reicht ein speziell präparierter Login-Name aus, um die Sicherheitslücke auszunutzen. Damit ließe sich dann Code mit den Rechten des Webmin-Users ausführen, und das ist in aller Regel "root". Da kein Account auf dem System benötigt wird, seien alle Systeme betroffen, auf denen die Webserver-Komponenten "miniserv.pl" laufen.

Es sei durch diese Sicherheitslücke zudem relativ leicht, ein betroffenes System in die Knie zu zwingen, es gebe aber auch einen Exploit, der das Ausführen von Code auf fremden Systemen erlaube.

Betroffen ist Webmin in Versionen unter 1.250 und Usermin unter der Version 1.180. Unter webmin.com stehen aber die aktualisierten Versionen zum Download bereit. Details zur Sicherheitslücke sind unter dyadsecurity.com zu finden.