Уязвимость BDU:2025-05192
Идентификатор: BDU:2025-05192.
Наименование уязвимости: Уязвимость веб-панели управления сервером Webmin, позволяющая нарушителю повысить свои привилегии.
Описание уязвимости: Уязвимость веб-панели управления сервером Webmin связана с непринятием мер по нейтрализации CRLF-последовательностей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии путем отправки специально сформированных CGI-запросов
Уязвимое ПО: Прикладное ПО информационных систем Webmin Webmin до 2.302 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 01.05.2025.
CVSS 2.0: AV:N/AC:L/Au:S/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению:
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;
— использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению;
— использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости;
— использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
— ограничение доступа к устройству из внешних сетей (Интернет).
Использование рекомендаций:
https://webmin.com/
Обновление программного обеспечения до версии 2.302 и выше.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-2774. ZDI-25-282. ZDI-CAN-26502.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://www.zerodayinitiative.com/advisories/ZDI-25-282/
https://vuldb.com/?id.307171
https://github.com/E1CHO/cve_hub/blob/main/Complete%20Online%20Marriage%20Registration%20System%20-%20vuln%201.pdf
