CVE-2019-9624

ثغرة تنفيذ أوامر عن بعد موثقة (Authenticated RCE) في Webmin 1.9.0

Webmin 1.900 Authenticated RCE - استغلال ثغرة CVE-2019-9624

1. وصف الثغرة

CVE-2019-9624 هي ثغرة تنفيذ أوامر عن بعد (RCE) موثقة في إصدارات Webmin حتى 1.900. تسمح لمستخدم إداري بتنفيذ أوامر نظام تعسفية بصلاحيات الجذر (root) عبر وحدات shell أو file.

2. سير العمل الفني للاستغلال

الخطوة 1: المصادقة وإدارة الجلسات

يستخدم Webmin معالج مصادقة مخصص. لتسجيل الدخول الآلي الناجح، يلزم ما يلي:

• اختبار ملف تعريف الارتباط (Cookie Testing): يجب إرسال ملف تعريف ارتباط testing=1 لتلبية فحص Webmin لدعم ملفات تعريف الارتباط في المتصفح.
• رأس Referer: يتحقق الخادم من رأس Referer لمنع تزوير الطلب عبر المواقع (CSRF). إذا لم يطابق الرأس مسار CGI المتوقع، يتم رفض تسجيل الدخول.
• SID (معرف الجلسة): عند النجاح، يصدر الخادم ملف تعريف ارتباط sid يعمل كرمز حامل (bearer token) لجميع الأوامر اللاحقة.

الخطوة 2: تجاوز قيود الترميز

عقبة رئيسية في استغلال Webmin 1.900 هي معالجة الإدخال الصارمة. تتوقع معظم الوحدات ترميز Multipart/Form-Data (MIME).

• الخطأ: إذا أرسل سكريبت طلب POST بترميز URL قياسي، يعيد الخادم: Expecting form-data encoding, but got normal encoding.
• الحل: يجب أن يستخدم الاستغلال حدًا (boundary) متعدد الأجزاء (multipart) لتغليف معامل cmd، محاكيًا رفع ملف أو إرسال نموذج معقد.

الخطوة 3: حقن الأوامر

يُرسل الحمولة (payload) إلى /shell/index.cgi. يأخذ الجزء الخلفي من Perl متغير cmd وينفذه مباشرة على النظام المضيف. من خلال تضمين معامل pwd بقيمة /root، نضمن تنفيذ الأمر في سياق الدليل الرئيسي للمستخدم الجذر.

3. مكونات الاستغلال