S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 17 mai 2002
N° CERTA-2002-AVI-105
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités sur Webmin

Gestion du document

Référence CERTA-2002-AVI-105
Titre Vulnérabilités sur Webmin
Date de la première version17 mai 2002
Date de la dernière version17 mai 2002
Source(s) Liste de diffusion Bugtraq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Exécution de code arbitraire
  • Injection de code indirecte à distance (XSS)
  • Usurpation d'identité

Systèmes affectés

versions de webmin antérieures à la version 0.97.

Résumé

Plusieurs vulnérabilités présentes dans webmin permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

webmin est un outil qui permet l'administration de machines à distance via un navigateur Web. webmin est installé par défaut sur certaines distributions.

La première vulnérabilité de type « cross site scripting » présente dans la gestion des messages d'erreurs permet à un utilisateur mal intentionné de faire exécuter du code sur la machine de l'utilisateur visualisant ces messages d'erreurs.

Une seconde vulnérabilité présente dans la gestion de l'authentification permet à un utilisateur mal intentionné de contourner l'authentification par mot de passe.

Contournement provisoire

Filter le port 10000/tcp au niveau du garde-barrière.

Solution

Mettre à jour webmin avec la version 0.97 (se référer à la section documentation).

Documentation

Gestion détaillée du document

    le 17 mai 2002
    version initiale.