CSRF-to-RCE

..| CVE-2021-31762 |..

विवरण :

Webmin की add users सुविधा के माध्यम से एक विशेषाधिकार प्राप्त उपयोगकर्ता बनाने के लिए क्रॉस-साइट अनुरोध जालसाजी (CSRF) हमले का शोषण करना, फिर Webmin की running process सुविधा के माध्यम से रिवर्स शेल प्राप्त करना।

परीक्षित संस्करण :

Webmin 1.973 ( GitHub का नवीनतम संस्करण 07/03/2021 )

हमले का प्रकार:

रिमोट

प्रभाव :

रिमोट कमांड निष्पादन

एक्सप्लॉइट का C0de POC :

यूट्यूब POC :

https://youtu.be/qCvEXwyaF5U

उत्पाद का विक्रेता :

https://www.webmin.com

अतिरिक्त जानकारी :

"Webmin यूनिक्स-जैसे सर्वरों और सेवाओं के लिए एक वेब-आधारित सिस्टम प्रशासन उपकरण है, जिसके दुनिया भर में 1,000,000 से अधिक इंस्टॉलेशन हैं। इसका उपयोग करके, ऑपरेटिंग सिस्टम के आंतरिक भागों, जैसे उपयोगकर्ता, डिस्क कोटा, सेवाएँ या कॉन्फ़िगरेशन फ़ाइलें, को कॉन्फ़िगर करना संभव है, साथ ही ओपन-सोर्स ऐप्स, जैसे BIND DNS सर्वर, Apache HTTP सर्वर, PHP, MySQL, और कई अन्य को संशोधित और नियंत्रित करना संभव है" Webmin के GitHub के अनुसार

खोजकर्ता :

Mesh3l_911 & Z0ldyck
ट्विटर: @mesh3l_911 ,@electronicbots