Webmin/Usermin Session ID Spoofing Vulnerability "Episode 2"

SNS Advisory No.62

Problem first discovered on: 20 Feb 2003
Published on: 24 Feb 2003
Previous Issue:https://www.lac.co.jp/lacwatch/alert/20020508_000060.html

概要

Webmin、およびUserminを動作させるWebサーバプログラムであるminiserv.plには、セッションIDを偽造させることのできる問題が存在します。

詳細

WebminはWebベースのUnix用システム管理ツールです。また、UserminはUnixシステムの全てのユーザが簡単にメールの受信をしたり、SSHやメールの転送のための設定を行うためのWebインタフェースです。

これらのソフトウェアを動作させるWebサーバプログラムであるminiserv.plは、Webを経由したアクセス管理のために使用するセッションIDの作成や確認、およびパスワードタイムアウトの処理などの際に、親プロセスと子プロセス間で名前付きパイプを使用した通信を行っています。

miniserv.plは、BASIC認証の処理を行う際、BASE64エンコードされた文字列中に改行コードなどの特殊文字が存在することを想定していないため、このパイプを利用して、管理ユーザである"admin"を含むユーザがログイン済みであるとの偽の情報を持たせたセッションIDを発行させることが可能です。

リモートの攻撃者はこの問題を利用し、ユーザ名とパスワードを必要とせずにログインすることができます。管理ユーザでのログインに成功した場合、root権限で任意のコマンドを実行することが可能となります。

[成功条件]
Webminの場合：

• *Webminの設定->認証とセッションオプションの"パスワードのタイムアウトを有効"の設定が適用されていること
• *有効なWebminのユーザ名を知っていること

Userminの場合：

• *Webminの設定->認証とセッションオプションの"パスワードのタイムアウトを有効"の設定が適用されていること
• *有効なUserminのユーザ名を知っていること

問題を確認したバージョン

Webmin Version：1.060
Usermin Version：0.990

対策

Webmin バージョン 1.070、およびUsermin バージョン 1.000へアップグレードを行うことでこの問題を解消することができます。これは以下のURLより入手可能です。

http://www.webmin.com/

発見者

山崎 圭吾

謝辞：
Jamie Cameron氏