CVE-2023-38305

Webmin do wersji 2.670 zawiera podatność na przechowywany cross-site scripting w modułach Shorewall i Shorewall6 list.cgi, które renderują pola tabeli i linie COMMENT bez escapowania. Uwierzytelnieni użytkownicy z uprawnieniami do edycji tabel mogą przechowywać JavaScript poprzez savecmt.cgi lub wpisy tabel, które wykonują się, gdy inni użytkownicy, w tym root, przeglądają stronę listy.

W Webmin 1.850 występuje podatność CSRF, która umożliwia atakującemu wykonanie dowolnych poleceń poprzez wysłanie żądania GET do at/create_job.cgi z parametrami dir=/&cmd= w URI.

W Webmin 1.850 występuje podatność typu SSRF, która umożliwia atakującemu wykorzystanie parametru PATH_INFO do przeprowadzenia żądania GET do tunnel/link.cgi z zewnętrznym adresem IP.

Webmin przed wersją 2.650 zawiera podatność XSS, która może zostać wykorzystana, gdy użytkownik kliknie złośliwy link prowadzący do serwera. Atakujący może wykonać dowolne komendy w kontekście użytkownika.

W Webmin przed wersją 2.652 niezaufani użytkownicy z dostępem do modułów File Manager lub Upload and Download mogą skierować funkcję pobierania z adresu URL po stronie serwera do niepublicznych adresów sieciowych, ponieważ cele pobierania nie są ograniczane przez rozwiązany adres IP. Umożliwia to żądania do nieuwierzytelnionych usług intranetowych lub endpointów metadanych instancji dostawcy chmury, niedostępnych z systemu użytkownika.

Webmin to internetowe narzędzie do administracji systemem dla serwerów Unix-like. Przed wersją 2.640, dla kont Webmin wymagających drugiego czynnika uwierzytelniania (zwykle TOTP), atakujący znający nazwę użytkownika i hasło może ominąć wymóg 2FA, używając uwierzytelniania Basic. Jako obejście, można ręcznie zastosować łatkę z commita da18a16c84ae5c0b78cad79609cb0efb174000ec.

Webmin akceptuje podstawowe uwierzytelnianie bez ciasteczek sesji, gdy atakujący poda nagłówek 'User-Agent: webmin', co pozwala ominąć dodatkowe wymagania MFA. Podatność naprawiona w wersji 2.640.

Webmin umożliwia nieautoryzowanym atakującym odczyt zawartości dowolnego pliku kończącego się na .conf w katalogach modułów, z powodu podatności w wyrażeniu regularnym.

Serwer HTTP Webmin (miniserv.pl) pozwala nieuwierzytelnionym atakującym na podszywanie się pod dowolnego użytkownika z skonfigurowanym certyfikatem klienta SSL, wysyłając sfałszowany nagłówek HTTP. Atakujący może sfałszować DN certyfikatu i uwierzytelnić się jako dowolny użytkownik. Poprawka w wersji 2.202.