CVE-2021-32159

La función Upload and Download de Webmin puede ser accionada mediante un cross-site request forgery: la aplicación no verifica que una solicitud que cambia el estado provenga genuinamente de la interfaz de Webmin, de modo que una solicitud falsificada por una página maliciosa que el administrador visita se ejecuta con la sesión del administrador. Como el propósito mismo de Webmin es la administración privilegiada del sistema —mover archivos hacia y desde la máquina—, una carga o descarga falsificada es una primitiva de escritura o lectura de archivos que se ejecuta con privilegios equivalentes a root.

Lo que hace que el CSRF valga la pena tomarse en serio aquí es el objetivo: esto no es un formulario de comentarios, es un panel de control del servidor. La jugada realista es atrapar a un administrador de Webmin autenticado y atraerlo a una página del atacante mientras su sesión está activa. Eso es un ataque dirigido, condicionado por ingeniería social, más que algo que una botnet dispare en masa, y necesita que el administrador haya iniciado sesión en ese momento. Pero dado el acceso de carga de archivos, la recompensa es alta: un atacante puede plantar contenido en el host a través de las propias manos del administrador.

Del lado defensivo, nos apoyaríamos en la exposición de red y la disciplina de sesión. Los paneles de Webmin nunca deberían ser ampliamente accesibles, así que el primer paso es confirmar que las instancias de 1.973 estén detrás de VPN o listas de permitidos por IP, lo que reduce el conjunto de administradores que podrían ser atraídos mientras están autenticados. También trataríamos esto como un elemento de aplicación de parches según la propia línea de versiones de Webmin y, donde tengamos filtrado web, vigilaríamos el patrón de solicitud de origen cruzado que llega al endpoint de carga.