VulDB: Webmin bis 1.230 Authentisierungs-Seite PAM fehlerhafte Authentisierung
Allgemein
scipID: 1755
Betroffen: Webmin bis 1.230
Veröffentlicht: 20.09.2005 (Keigo Yamazaki, Little eArth Corporation)
Risiko: 
problematisch
Beschreibung
Webmin ist eine offene Lösung für Unix-Systeme, mit der sich über ein Web-Interface grundlegende Konfigurationseinstellungen komfortabel einsehen und anpassen lassen. Bevor Zugriff gewährt wird, muss eine klassische Authentisierung durchlaufen werden. Wie Keigo Yamazaki herausgefunden hat, existiert dabei im Zusammenhang mit PAM ein Problem, so dass die Authentisierung umgangen werden kann. Es sind keine technischen Details oder ein Exploit zur Schwachstelle bekannt. Das Webmin-Team hat eine neue Version der Software zum Download zur Verfügung gestellt.
Grundsätzlich sind Sicherheitslücken in Authentisierungs-Mechanismen sehr problematisch. Hier ist es jedoch ein riesen Glück, dass verschiedene Gegebenheiten erforderlich sind, damit die Schwachstelle wirklich existent ist und ausgenutzt werden kann. Um auf Nummer Sicher zu gehen, sollte die aktuellste Version der Applikation installiert werden. Interessant bleibt zudem, dass Heise Security fast eine Woche brauchte, um sich einer Meldung zu diesem Thema anzunehmen.
Exploiting
Klasse: Schwache Authentifizierung
Lokal: Ja
Remote: Ja
Exploit: –
Milw0rm: –
Nessus: 20429 (Name: MDKSA-2005:176: webmin
ATK: –
Gegenmassnahmen
Status: Es ist eine aktualisierte Software-Version verfügbar.
Bestätigung: http://www.webmin.com/uchanges-1.160.html
Massnahme: Ein Upgrade auf die aktuellste Software-Version durchführen.
Link: http://www.webmin.com/download.html
Snort: –
Pattern: –
Quellen
Advisory: http://www.gentoo.org/security/en/glsa/glsa-200509-17.xml
CVE: CVE-2005-3042
OSVDB: 19575
Securityfocus: 14889
Secunia: 16858
X-Force: –
Securitytracker: –
VUPEN: ADV-2005-1791
Securiteam: –
Tecchannel: –
Heise: –
smSS: –
Andere: http://www.lac.co.jp/business/sns/intelligence/SNSadvisory_e/83_e.html
Buchtipp: Marc Ruef, Marko Rogge, Uwe Velten und Wolfram Gieseke (2002), Hacking Intern – Angriffe, Strategien, Abwehr, Data Becker, ISBN 381582284X (amazon.de)
