「Webmin」のソースコード改ざんで脆弱性、攻撃コード公開 - アクセス増加の観測も

開発チームによると、今回明らかとなった脆弱性「CVE-2019-15107」は、ソースコードを悪意を持って改ざんされたもので、偶然生じたバグではないという。

最初の改ざんは、2018年4月に発生。開発ビルド用のサーバ上で故意に脆弱性が追加され、ファイルのタイムスタンプも戻されたことから差分が表示されず、気が付かないまま「同1.890」をリリースしていた。

Githubより、正しいバージョンに戻されたが、2018年7月に再びパスワードの有効期限を設定する機能へ脆弱性が追加され、「同1.900」以降に脆弱性が存在するままリリースされた。

同脆弱性についてTenableは、「BinaryEdge」による検索において外部よりアクセスが可能で「同1.890」を実行していると見られるシステムが約2万8000件存在していると指摘している。

（Security NEXT - 2019/08/26 ）ツイート