Webadmin 1.580 RCE PoC (CVE-2012-2982)

Dieses Repository enthält einen Python-Proof-of-Concept (PoC)-Exploit für Webmin Version 1.580, der aufgrund unzureichender Eingabebereinigung anfällig für Remote-Befehlsausführung (RCE) ist. Die Schwachstelle befindet sich in der Komponente file/show.cgi und erlaubt einem authentifizierten Webmin-Benutzer mit Zugriff auf das Dateimanager-Modul, beliebige Betriebssystembefehle als root auszuführen.

Dieser PoC wurde zu Bildungs- und Forschungszwecken entwickelt und in einer kontrollierten Laborumgebung (TryHackMe) getestet.

⚠️ Dieses Projekt ist ausschließlich für Bildungszwecke und autorisierte Sicherheitstests bestimmt.

🛡️ Details zur Schwachstelle

• Produkt: Webmin
• Version: 1.580
• CVE: CVE-2012-2982
• Schwachstellentyp: Authentifizierte Remote-Befehlsausführung
• Auswirkung: Ermöglicht authentifizierten Benutzern die Ausführung beliebiger Systembefehle auf dem Server

🛡️ Wie die Schwachstelle ausgenutzt wird

• Die Schwachstelle besteht aufgrund unzureichender Eingabevalidierung in der Komponente file/show.cgi von Webmin 1.580
• Benutzergesteuerte Eingaben werden von Backend-Shell-Befehlen unsachgemäß verarbeitet
• Sonderzeichen wie der Pipe-Character (|) werden nicht bereinigt
• Ein authentifizierter Angreifer kann beliebige Shell-Befehle einschleusen
• Eingeschleuste Befehle werden mit den Berechtigungen des Webmin-Prozesses (root) ausgeführt

In diesem PoC:

• Eine präparierte URL wird an show.cgi gesendet
• Pipe-Zeichen werden verwendet, um die vorgesehene Dateiverarbeitungslogik zu umgehen
• Beliebige Systembefehle werden auf dem Server ausgeführt

Ausführen des Exploits

Verwendung

# Usage:
# python3 webmin.py <target> -u <username> -p <password> -c "<command>"

# Example:
python3 webmin.py https://10.10.10.10:10000 -u admin -p admin123 -c "id"

🛡️ Danksagungen

• Schwachstellenentdeckung: CVE-2012-2982 wurde ursprünglich von Weston Wagner von der American InfoSec Group entdeckt
• Dieses Repository bietet eine unabhängige Bildungsumsetzung als Proof-of-Concept