Um script Python para explorar CVE-2022-36446 Atualizações de Pacotes de Software RCE (Autenticado) no Webmin < 1.997.
Lançamento do GitHub (mais recente)

Funcionalidades

Suporta HTTP e HTTPS (mesmo com certificados autoassinados com --insecure).
Execução de comando único com a opção --command.
Console interativo com a opção --interactive.

Uso

$ ./CVE-2022-36446.py -h
CVE-2022-36446 - Webmin < 1.997 - Software Package Updates RCE (Authenticated) v1.1 - by Remi GASCOU (Podalirius)

usage: CVE-2022-36446.py [-h] -t TARGET [-k] -u USERNAME -p PASSWORD (-I | -C COMMAND) [-v]

CVE-2022-36446 - Webmin < 1.997 - Software Package Updates RCE (Authenticated)

optional arguments:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        URL to the webmin instance
  -k, --insecure
  -u USERNAME, --username USERNAME
                        Username to connect to the webmin.
  -p PASSWORD, --password PASSWORD
                        Password to connect to the webmin.
  -I, --interactive     Interactive console mode.
  -C COMMAND, --command COMMAND
                        Only execute the specified command.
  -v, --verbose         Verbose mode. (default: False)

Mitigação

Atualize para Webmin >= 1.997.

Demonstração

https://user-images.githubusercontent.com/79218792/184222596-3878e169-92ec-4507-99b5-3fe2c1d39360.mp4

Contribuindo

Pull requests são bem-vindos. Sinta-se à vontade para abrir uma issue se quiser adicionar outras funcionalidades.

CVE-2022-36446-Webmin-Software-Package-Updates-RCE

Mais Populares