CVE-2019-9624

Authentifizierte RCE für Webmin 1.9.0

Webmin 1.900 Authentifizierte RCE - CVE-2019-9624 Exploit

1. Schwachstellenbeschreibung

CVE-2019-9624 ist eine authentifizierte Remote Code Execution (RCE)-Schwachstelle in Webmin-Versionen bis 1.900. Sie erlaubt einem administrativen Benutzer die Ausführung beliebiger Systembefehle mit Root-Rechten über die Module shell oder file.

2. Technischer Ablauf

Schritt 1: Authentifizierung & Sitzungsverwaltung

Webmin verwendet einen benutzerdefinierten Authentifizierungs-Handler. Für einen erfolgreichen automatisierten Login sind folgende Dinge erforderlich:

• Testing-Cookie: Ein Cookie testing=1 muss gesendet werden, um Webmins Prüfung auf Browser-Cookie-Unterstützung zu erfüllen.
• Referer-Header: Der Server prüft den Referer-Header, um Cross-Site Request Forgery (CSRF) zu verhindern. Wenn der Header nicht mit dem erwarteten CGI-Pfad übereinstimmt, wird der Login abgelehnt.
• SID (Session-ID): Bei Erfolg stellt der Server ein sid-Cookie aus, das als Berechtigungsnachweis für alle nachfolgenden Befehle dient.

Schritt 2: Umgehung der Kodierungsbeschränkungen

Eine große Hürde bei der Ausnutzung von Webmin 1.900 ist die strenge Eingabeanalyse. Die meisten Module erwarten eine Multipart/Form-Data (MIME)-Kodierung.

• Der Fehler: Wenn ein Skript einen standardmäßig URL-kodierten POST sendet, gibt der Server zurück: Expecting form-data encoding, but got normal encoding.
• Die Lösung: Der Exploit muss eine Multipart-Grenze verwenden, um den cmd-Parameter zu kapseln und so einen Datei-Upload oder eine komplexe Formularübermittlung zu simulieren.

Schritt 3: Befehlseinschleusung

Das Payload wird an /shell/index.cgi gesendet. Das Perl-Backend nimmt die Variable cmd und führt sie direkt auf dem Hostsystem aus. Durch die Angabe eines pwd-Parameters, der auf /root gesetzt ist, stellen wir sicher, dass der Befehl im Kontext des Home-Verzeichnisses des Root-Benutzers ausgeführt wird.

3. Exploit-Komponenten