https://www.opennet.ru/openforum/vsluhforumID3/118200.html В пакете Webmin (https://github.com/webmin/webmin/), предоставляющем средства для удалённого управления сервером, выявлен (https://groups.google.com/forum/#!msg/virtualmin-announce/hCCtMJfvhTI/_JOodz2BDQAJ) бэкдор (CVE-2019-15107 (https://security-tracker.debian.org/tracker/CVE-2019-15107)), найденный в официальных сборках проекта, распространяемых (https://sourceforge.net/projects/webadmin/files/webmin/) через Sourceforge и рекомендованных (http://webmin.com/download.html) на основном сайте. Бэкдор присутствовал в сборках с 1.882 по 1.921 включительно и позволял удалённо без прохождения аутентификации выполнить произвольные shell-команды в системе с правами root. <br><br><br>Для атаки достаточно наличия открытого сетевого порта с Webmin и активности в web-интерфейсе функции смены устаревшего пароля (по умолчанию включена в сборках 1.890, но в остальных версиях выключена). Проблема устранена (http://webmin.com/security.html) в обновлении (https://groups.google.com/forum/#!msg/virtualmin-announce/hCCtMJfvhTI/_JOodz2 https://www.opennet.ru/openforum/vsluhforumID3/118200.html#82 Mon, 08 Jul 2024 14:54:35 GMT я вот хочу вебмин во вне вывести, а нельзя сделать, так, чтобы с других айпи, нельзя было зайти , кромне нужно? МОЖНО! И чё тоже ломанут ? если да, то как ? А вот ваш впн упадёт, какойнить сертификат устареет, время собъётся, ну или конфиг битым станет, как там падают, эти ваши впн и как вы на машину попадёте ? а ? А ? яндекс такси ?<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#81 Sat, 07 Dec 2019 08:05:36 GMT только идиоты выставляют в интернет winbox webmin ssh rdp и прочие службы, которые приглашают ввести пароль а после дают доступ к машине<br><br>наружу должен смотреть vpn сервер. всё.<br>всё остальное делается внутри vpn<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#80 Thu, 22 Aug 2019 08:09:09 GMT так-ки да! Интересно ж. Вдруг я что-то в жизни упустил?<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#79 Wed, 21 Aug 2019 09:59:11 GMT &gt; а тут еще оказывается у них не зря руки из ж растут<br><br>Да там подкинули, что ж вы не дочитываете. А автору за желтизну заголовка 5.<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#78 Wed, 21 Aug 2019 09:56:51 GMT Они бы тоже выполнялку команд могли вынести в отдельный сервис и обращаться к нему из бэка морды. Но это сложнее по архитектуре, да и не сильно убережёт.<br>Что там под двухзвенной архитектурой подразумевает Анон, я не знаю. Тут могут быть субъективные представления.<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#77 Wed, 21 Aug 2019 08:56:49 GMT Это не ошибка разраба, а бэкдор (как сказано в новости), т.е. умышленная закладка уязвимости. Чему будет учиться разраб в данном случае, скорее это тому чтоб в следующий раз не спалиться. И сам себя поправлю -- в таком случае доверия нету даже не продукту, а разрабу. (по моему не претенующему мнению)<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#76 Wed, 21 Aug 2019 07:45:33 GMT Ты не виляй, а назови хоть что-то конкретное.<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#75 Tue, 20 Aug 2019 23:35:37 GMT cPanel коммерческий продукт, за который платишь деньги. Если взломают - можно пнуть техподдержку cPanel и тебе все починят.<br>И за 10 лет еще ни разу не встречал ситуацию когда ломали сервер именно через cPanel.<br> https://www.opennet.ru/openforum/vsluhforumID3/118200.html#74 Tue, 20 Aug 2019 20:31:48 GMT &gt; Поэтому себе <br>&gt; сделал аналог (не для установки пакетов), но по двухзвенной архтитектуре.<br><br>Тема не раскрыта. Где код?<br>