Ein Sicherheitsbericht des CERT-Bund weist darauf hin, dass ein Angreifer mehrere Schwachstellen in der Verwaltungsoberfläche Webmin ausnutzen kann, um falsche Informationen darzustellen, vertrauliche Daten offenzulegen und vorhandene Sicherheitsvorkehrungen zu umgehen.
Technische Details der Schwachstellen
Die betroffenen Komponenten betreffen sowohl die Authentifizierungslogik als auch die Verarbeitung von HTTP-Anfragen. Durch präzise manipulierte Anfragen lassen sich Fehlermeldungen erzeugen, die falsche Systeminformationen enthalten. Gleichzeitig können Angreifer über speziell formatierte Parameter Zugriff auf interne Dateien erhalten.
Potenzielle Auswirkungen
Durch die Kombination der Schwachstellen kann ein Angreifer nicht nur sensible Konfigurationsdaten einsehen, sondern auch weitere Angriffsvektoren eröffnen, die das Gesamtsicherheitskonzept einer betroffenen Installation untergraben. Die Möglichkeit, Sicherheitsmechanismen zu umgehen, erhöht das Risiko einer weiterführenden Kompromittierung.
Betroffene Versionen
Laut dem Advisory betrifft das Problem alle Webmin-Versionen, die zum Zeitpunkt der Veröffentlichung noch unterstützt werden und bei denen die genannten Module standardmäßig aktiviert sind. Der Bericht nennt keine spezifischen Versionsnummern, empfiehlt jedoch, die aktuelle Release-Historie zu prüfen.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät Administratoren, unverzüglich die neuesten Sicherheitspatches zu installieren und nicht mehr benötigte Module zu deaktivieren. Zusätzlich sollten Logdateien auf verdächtige Zugriffe überprüft und Netzwerkfilter für den Zugriff auf die Webmin-Oberfläche konfiguriert werden.
Weiteres Vorgehen
Betroffene Betreiber werden aufgefordert, die detaillierten Anweisungen im vollständigen Advisory zu befolgen und bei Unsicherheiten den Support des Herstellers zu kontaktieren. Der CERT-Bund wird die Situation weiter beobachten und bei Bedarf weitere Informationen bereitstellen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung