CVE-2019-15107 Webmin : vulnérabilité d'injection de commandes

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 25 mars 2022.

Un problème a été découvert dans webmin. le paramètre old dans password_change.cgi contient une vulnérabilité d'injection de commandes.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 99,7 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Injection de commandes système (CWE-78) : Le produit construit tout ou partie d'une commande système en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande système prévue avant qu'elle ne soit envoyée à un composant aval.

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Webmin Command Injection Vulnerability

An issue was discovered in Webmin. The parameter old in password_change.cgi contains a command injection vulnerability.

Required action: Apply updates per vendor instructions.