◈ 제목
Webmin/Usermin 취약점
◈ 해당 시스템
HP-UX release 11.00, 11.11, 11.20 및 11.22를 구동하는 HP9000 서버
hp apache-based web server, 1.3.27.00 및 이전버전
hp apache-based web server, 2.0.43.00 및 이전버전
hp-ux webmin-based admin, v.1.0.00.01 및 이전버전
◈ 영향
원격 사용자가 web관리용 프로그램에 접속하여 시스템 관리자 권한(root)을 획득할 수 있다.
◈ 설명
Webmin이란 시스템 관리자의 편의성을 증대하기 위한 도구로써 시스템 관리를 웹환경에서 가능하도록 제공하는 도구이다. Webmin은 이러한 기능을 제공하기 위하여 자체적인 소규모 웹서버와 다수의 cgi프로그램으로 이루어진다.
1. Webmin 1.070 이전버전
2. Usermin 1.000 이전버전
에 포함되어 있는 miniserv.pl 프로그램과 관련하여 인증과정에서 메타캐릭터 문자열을 적절히 처리하지 못함으로써 본 취약점이 발생한다.
본 취약점을 이용하여 원격의 공격자는 세션ID를 위조(spoofing)함으로써 관리자(root) 권한을 획득할 수 있다.
◈ 해결책
Webmin 1.070을 포함하고 있는 해당 프로그램 패키지를 업데이트 한다.
ApacheStrong/B9415AA 사용자의 경우 :
→hp apache-based web server, 1.3.27.01를 다운받아 설치한다.
HPApache/B9416AA, HPApache/B9416BA 및 hpuxwsWEBMIN/hpuxwsWebmin 사용자의 경우 :
→hp-ux webmin-based admin, v.1.0.01.01 또는 이후버전을 다운받아 설치한다.
HPApache/B9416AA 또는 HPApache/B9416BA 사용자의 경우 :
→ hpuxwsWEBMIN/hpuxwsWebmin 프로그램으로 변경하고 기존의 프로그램을 삭제한다.
IPv6를 사용하는 시스템에 대한 패치는 현재 제공되지 않는다.
자세한 업그레이드 방법은 아래를 참조한다.
1. Webmin설치여부 검사하기
Webmin GUI Administation Tool이 시스템에 설치되어 있는지 확인하려면 swlist 프로그램을 사용하면 된다. hpuxwsWEBMIN 이전 버전은 product 수준에서 찾을 수 없기 때문에 대신 Apache 프로그램을 찾아야 한다. 모든 버전에서 Apache 와 Webmin 프로그램은 함께 존재하기 때문이다.
예를 들면 hpuxwsWEBMIN 버전이 설치된 시스템은
# swlist -l product | grep -i webmin
hpuxwsWEBMIN A.1.0.00.01 HP-UX Webmin-based AdminhpuxwsWEBMIN 이전 버전은
# swlist -l product | grep -i apache
ApacheStrong 1.3.19.21 HP Apache-based Web Server
with Strong (128bit) Encryption
HPApache 2.0.39.01.02 HP Apache-based Web Server
상기의 방식을 이용하면 되며, 위의 두개의 명령을 실행해서 결과값이 출력된다면 업데이트가 요구된다.
2. Webmin 프로그램 중지하기
업데이트를 하기 전에 Webmin 프로그램을 중지해야 한다.
hpuxwsWEBMIN 이 설치된 경우는 아래처럼 명령을 실행하면 된다.
ApacheStrong: # /opt/apache/webmin/webmin-init stop
HPApache: # /opt/hpapache2/webmin/webmin-init stop
hpuxwsWEBMIN: # /opt/hpws/webmin/webmin-init stop
hpuxwsWEBMIN 이전버전이 설치된 경우는 아래처럼 명령을 실행하면 된다.
ApacheStrong: # /opt/apache/bin/apachectl stop
HPApache: # /opt/hpapache2/bin/apachectl stop
3. 다운 받고 설치하기
앞에서 언급한 해당 Webmin/Apache 프로그램을 다운 받는다. HPApache/B9416AA or HPApache/B9416BA 을 설치해 되어 있다면 이 프로그램을 삭제하고 hpuxwsWEBMIN/hpuxwsWebmin 을 설치해야 한다.
새버전의 HP Apache 로 구 버전의 HP Apache 로 교체하는 건 지원하나, HP Apahce 이외의 Apache 버전은 지원하지 않는다.
4. Webmin 삭제하기
Webmin 프로그램 업그레이드 대신 기존 프로그램을 삭제하길 원한다면 "smremove" 프로그램을 이용하고 또한 "rm -rf" 로 rc.config.d 의 내부에 있는 파일들에서 "HOME" 변수 값으로 설정된 위치를 삭제한다.
Webmin 을 삭제할때 ApacheStrong/B9415AA, HPApache/B9416AA 과 HPApache/B9416BA 경우 Apache도 삭제해 주어야 한다.
/etc/rc.config.d 에서 Apache와 관련된 HOME 변수를 포함하고 있는 파일을 찾으려면
%ls /etc/rc.config.d | grep apache
apacheconf
hpapache2conf
HP Apache 1.3.x 은 "/opt/apache" 디렉토리 하위에 있는 내용을 직접 삭제해 주어야 한다.
% ls /etc/rc.config.d | grep webmin
hpws_webminconf
◈ 참조 사이트
http://www.ciac.org/ciac/bulletins/n-058.shtml
