CVE-2021-32159

O recurso Upload and Download do Webmin pode ser acionado por um cross-site request forgery: o aplicativo não verifica se uma requisição que altera estado veio genuinamente da interface do Webmin, de modo que uma requisição forjada por uma página maliciosa que o administrador visita acaba sendo executada com a sessão do administrador. Como todo o propósito do Webmin é a administração privilegiada de sistemas — transferir arquivos de e para a máquina —, um upload ou download forjado é uma primitiva de escrita ou leitura de arquivos rodando com privilégios equivalentes ao root.

O que torna o CSRF digno de atenção aqui é o alvo: não é um formulário de comentários, é um painel de controle de servidor. A jogada realista é pegar um administrador do Webmin autenticado e atraí-lo a uma página do atacante enquanto sua sessão está ativa. É um ataque direcionado e condicionado à engenharia social, e não algo que um botnet dispara em massa, e exige que o administrador esteja logado no momento. Mas, dado o acesso de upload de arquivos, o retorno é alto — um atacante pode plantar conteúdo no host pelas próprias mãos do administrador.

Do lado da defesa, nos apoiaríamos na exposição de rede e na disciplina de sessão. Painéis do Webmin nunca deveriam ser amplamente acessíveis, então o primeiro passo é confirmar que as instâncias 1.973 estão atrás de VPN ou de listas de permissão de IP, o que reduz o conjunto de administradores que poderiam ser atraídos enquanto autenticados. Também trataríamos isso como um item de atualização a partir da própria linha de lançamentos do Webmin e, onde tivermos filtragem web, monitoraríamos o padrão de requisição de origem cruzada atingindo o endpoint de upload.