CVE-2019-9624

RCE autenticado para Webmin 1.9.0

Webmin 1.900 RCE autenticado - Exploit CVE-2019-9624

1. Descripción de la vulnerabilidad

CVE-2019-9624 es una vulnerabilidad de Ejecución Remota de Código (RCE) autenticada en versiones de Webmin hasta la 1.900. Permite a un usuario administrador ejecutar comandos arbitrarios del sistema con privilegios de root a través de los módulos shell o file.

2. Flujo de ejecución técnica

Paso 1: Autenticación y gestión de sesiones

Webmin utiliza un manejador de autenticación personalizado. Para un inicio de sesión automatizado exitoso, se requieren:

• Cookie de prueba: Se debe enviar una cookie testing=1 para satisfacer la verificación de compatibilidad de cookies del navegador de Webmin.
• Encabezado Referer: El servidor verifica el encabezado Referer para prevenir la falsificación de solicitudes entre sitios (CSRF). Si el encabezado no coincide con la ruta CGI esperada, el inicio de sesión es rechazado.
• SID (ID de sesión): En caso de éxito, el servidor emite una cookie sid que actúa como token portador para todos los comandos posteriores.

Paso 2: Evasión de restricciones de codificación

Un obstáculo importante al explotar Webmin 1.900 es su estricto análisis de entrada. La mayoría de los módulos esperan codificación Multipart/Form-Data (MIME).

• El error: Si un script envía un POST codificado en URL estándar, el servidor devuelve: Expecting form-data encoding, but got normal encoding.
• La solución: El exploit debe usar un límite multipart para envolver el parámetro cmd, simulando una carga de archivo o un envío de formulario complejo.

Paso 3: Inyección de comandos

El payload se envía a /shell/index.cgi. El backend de Perl toma la variable cmd y la ejecuta directamente en el sistema anfitrión. Al incluir un parámetro pwd establecido en /root, aseguramos que el comando se ejecute en el contexto del directorio home del usuario root.

3. Componentes del exploit