..| CSRF_to_Command_Injection1 |..

説明 :

Webmin の「アップロードとダウンロード」機能を介して、クロスサイトリクエストフォージェリ (CSRF) 攻撃を悪用し、コマンドインジェクションを引き起こす

テスト済みバージョン :

Webmin 1.973 ( GitHub の最新版 2021/03/07 )

攻撃タイプ :

リモート

影響 :

コマンド実行

エクスプロイトのコード PoC :

製品のベンダー :

https://www.webmin.com

追加情報 :

"Webmin は、Unix 系サーバー向けの Web ベースのシステム管理ツールで、世界中で 100 万以上のインストール実績があります。これを使用すると、ユーザー、ディスククォータ、サービス、設定ファイルなどのオペレーティングシステム内部を設定できるだけでなく、BIND DNS サーバー、Apache HTTP サーバー、PHP、MySQL などのオープンソースアプリケーションを変更および制御することも可能です" Webmin の GitHub より

発見者 :

Mesh3l_911 & Z0ldyck
Twitter: @mesh3l_911 ,@electronicbots