Łańcuch dostaw / DATA PUBLICZNEGO OGŁOSZENIA
Webmin 2019: backdoor w paczkach programu
Złośliwa zmiana w paczkach panelu administracyjnego pokazała, że zagrożenie może pojawić się jeszcze przed instalacją programu.
Co się wydarzyło?
W sierpniu 2019 roku ujawniono możliwość wykonania poleceń przez mechanizm zmiany hasła w Webminie. Rekord CVE-2019-15107 opublikowano 16 sierpnia. Następnego dnia projekt wydał poprawkę 1.930, a analiza wykazała celowe dodanie złośliwego kodu do środowiska budowania paczek.
Według wyjaśnień twórców pierwsza ingerencja nastąpiła w kwietniu 2018 roku. Problem obejmował zmodyfikowane wydania dystrybucyjne; nie był zwykłą pomyłką w funkcji panelu. Późniejsze przeniesienie katalogu budowania z kopii zapasowej zachowało złośliwe zmiany.
Jakie były warunki ataku?
Webmin 1.890 był podatny w konfiguracji domyślnej. W wydaniach 1.900-1.920 wykorzystanie backdoora wymagało włączenia funkcji zmiany wygasłych haseł. W podatnej konfiguracji napastnik mógł wykonać polecenia jako root, zagrażając całemu serwerowi.
Co zmieniono?
Historyczną poprawką było wydanie 1.930. Twórcy opisali również zmiany procesu budowania, wymianę dostępnych wcześniej haseł i kluczy oraz przegląd zmian w repozytorium. Usunięcie podatnego fragmentu musiało iść w parze z wyjaśnieniem, jak trafiał on do publikowanych paczek.
Co to oznacza dla administratora?
Trzeba chronić zarówno zainstalowany panel, jak i proces dostarczania jego aktualizacji. Przy incydencie w łańcuchu dostaw znaczenie mają pochodzenie paczki, kontrola zmian w procesie przygotowywania wydań oraz ryzyko ujawnienia haseł i kluczy. To podobny obszar ryzyka jak w późniejszej historii backdoora w xz, choć mechanizm i zakres obu zdarzeń były inne.