CVE-2019-9624

Webmin 1.9.0용 인증된 RCE

Webmin 1.900 인증된 RCE - CVE-2019-9624 익스플로잇

1. 취약점 설명

CVE-2019-9624는 Webmin 1.900까지의 버전에서 발생하는 인증된 원격 코드 실행(RCE) 취약점입니다. 관리자 사용자가 shell 또는 file 모듈을 통해 root 권한으로 임의의 시스템 명령을 실행할 수 있습니다.

2. 기술적 실행 흐름

1단계: 인증 및 세션 관리

Webmin은 사용자 지정 인증 핸들러를 사용합니다. 자동화된 로그인을 성공하려면 다음이 필요합니다:

• 테스트 쿠키: Webmin의 브라우저 쿠키 지원 확인을 통과하려면 testing=1 쿠키를 전송해야 합니다.
• Referer 헤더: 서버는 사이트 간 요청 위조(CSRF)를 방지하기 위해 Referer 헤더를 확인합니다. 헤더가 예상 CGI 경로와 일치하지 않으면 로그인이 거부됩니다.
• SID(세션 ID): 성공하면 서버는 이후 모든 명령에 대한 베어러 토큰 역할을 하는 sid 쿠키를 발급합니다.

2단계: 인코딩 제한 우회

Webmin 1.900을 악용하는 데 큰 장애물은 엄격한 입력 파싱입니다. 대부분의 모듈은 Multipart/Form-Data(MIME) 인코딩을 기대합니다.

• 오류: 스크립트가 표준 URL 인코딩 POST를 보내면 서버는 Expecting form-data encoding, but got normal encoding을 반환합니다.
• 해결 방법: 익스플로잇은 multipart 경계(boundary)를 사용하여 cmd 매개변수를 감싸 파일 업로드 또는 복잡한 양식 제출을 시뮬레이션해야 합니다.

3단계: 명령 주입

페이로드는 /shell/index.cgi로 전송됩니다. Perl 백엔드는 cmd 변수를 가져와 호스트 시스템에서 직접 실행합니다. /root로 설정된 pwd 매개변수를 포함하면 명령이 root 사용자의 홈 디렉터리 컨텍스트에서 실행되도록 보장합니다.

3. 익스플로잇 구성 요소