Удаленное выполнение произвольных команд в Webmin и Usermin

Дата публикации:
28.02.2003
Всего просмотров:
2344
Опасность:
Высокая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Удаленная
Воздействие:
Обход ограничений безопасности
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Webmin 1.x
Описание: Возможность подмены ID сессии обнаружена в Webmin и Usermin в miniserv.pl сценарии. Удаленный пользователь может получить root доступ.

Secure Net Service издал уведомление, в котором сообщается, что сценарий miniserv.pl не достаточно фильтрует данные, представленные пользователем, в течении BASIC опознавательного процесса. Удаленный пользователь может ввести мета символы в Base64 кодированную строку BASIC идентификации, чтобы подтвердить подлинность как 'admin' пользователь и подменить правильный идентификатор сеанса. Уязвимость позволяет удаленному пользователю выполнять произвольные команды с root привилегиями.

Уязвимость работает только при включенной опции “Enable password timeouts". Атакующий также должен знать правильное имя любого пользователя системы.

Уязвимость обнаружена в Webmin 1.060 и Usermin 0.990

Ссылки: Webmin/Usermin Session ID Spoofing Vulnerability "Episode 2"

или введите имя

CAPTCHA