S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 20 février 2006 No CERTA-2005-AVI-478-004

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Webmin/Usermin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

• Webmin versions antérieures à 1.250 ;
• Usermin versions antérieures à 1.180.

3 Description

Webmin est une interface d'administration Unix basée sur le web. Usermin est un dérivé de Webmin destiné aux utilisateurs, leur permettant notamment de consulter leur messagerie.

Une vulnérabilité a été découverte dans Webmin/Usermin lors de la journalisation avec syslog. Un utilisateur mal intentionné peut, lors de la phase d'authentification, en fournissant un nom d'utilisateur habilement constitué, réaliser un déni de service sur le serveur.

4 Solution

5 Documentation

• Site de Webmin :

  http://www.webmin.com
  

• Page recensant les problèmes de sécurité sur le site de Webmin :

  http://www.webmin.com/security.html
  

• Bulletin de sécurité DYAD Security du 29 novembre 2005 :

  http://www.dyadsecurity.com/webmin-0001.html
  

• Bulletin de sécurité Mandriva MDKSA-2005:223 du 02 décembre 2005 :

  http://frontal2.mandriva.com/security/advisories?name=MDKSA-2005:223
  

• Bulletin de sécurité Gentoo GLSA 200512-02 du 07 décembre 2005 :

  http://www.gentoo.org/security/en/glsa/glsa-200512-02.xml
  

• Bulletin de sécurité SUSE SUSE-SR:2005:030 du 16 décembre 2005 :

  http://www.novell.com/linux/security/advisories/2005_30_sr.html
  

• Bulletin de sécurité FreeBSD du 15 février 2006 :

  http://www.vuxml.org/freebsd/pkg-webmin.html
  

• Référence CVE CAN-2005-3912 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-3912
  

Gestion détaillée du document

02 décembre 2005

version initiale.

05 décembre 2005

ajout de la référence au bulletin de sécurité Mandriva.

08 décembre 2005

ajout des références aux bulletins de sécurité Gentoo et DYAD Security.

21 décembre 2005

ajout de la référence au bulletin de sécurité SUSE.

20 février 2006

ajout de la référence au bulletin de sécurité FreeBSD.