Webmin: Rechteausweitung über Gruppenmodulzuweisung in acl/save_group.cgi
Zusammenfassung
Webmin bis Version 2.670 enthält in acl/save_group.cgi eine Rechteausweitung. Ein delegierter Administrator mit Zugriff auf das Webmin-Users-Modul kann im Parameter mod beliebige Modullisten übermitteln und sich so Gruppen mit leistungsstarken Modulen wie Command Shell zuweisen. Ein Angreifer mit diesen Rechten kann dadurch Befehle als root ausführen. Der Angreifer benötigt bereits ein delegiertes Administratorkonto, daher besteht das Risiko vor allem intern oder bei einem kompromittierten Administratorkonto.
Betroffen
- Webmin bis 2.670
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
Behoben in
- Unbekannt. Es wurde keine Herstellerwarnung und keine korrigierte Version gefunden, die diese CVE nennt.
- Ein Fix-Commit (be54ba38c3b86a3647a62327e1de81d5d0db098a) existiert im Webmin-GitHub-Repository, die Version mit diesem Commit ist jedoch nicht bestätigt.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers veröffentlicht.
- Delegierte Administratorrechte einschränken und Konten mit Zugriff auf das Webmin-Users-Modul überprüfen.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: unbekannt.
- Öffentlicher Proof of Concept: unbekannt.
- Der Angriff erfordert hohe Berechtigungen (PR:H) und keine Benutzerinteraktion. CVSS-4.0-Basiswert: 8.6 (hoch).
Unsere Empfehlung
- Alle Webmin-Instanzen und deren Versionen inventarisieren.
- Delegierte Administratorkonten, Gruppenmitgliedschaften und Gruppen mit Command Shell oder ähnlichen Modulen überprüfen und nicht benötigte entfernen.
- Den Zugriff auf Webmin auf Verwaltungsnetze oder VPN beschränken und Webmin nicht auf öffentlichen Schnittstellen exponieren.
- Auf unerwartete Gruppen- oder Mitgliedschaftsänderungen in der Webmin-Konfiguration achten.
- Sobald der Hersteller eine korrigierte Version bestätigt, auf diese aktualisieren; Herstellerwarnung und NVD in einigen Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linked GitHub source acl/save_group.cgi (2.670) github.com
- Fix commit be54ba38 (save_group.cgi module validation) github.com
- Commit c861e308 (Webmin) github.com
- VulnCheck advisory: Webmin through 2.670 privilege escalation www.vulncheck.com
- OffSeq Radar: CVE-2026-126780 radar.offseq.com
- Webmin security page webmin.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:26.
Referenzen der NVD (4)
- https://github.com/webmin/webmin/blob/2.670/acl/save_group.cgi#L83
- https://github.com/webmin/webmin/commit/be54ba38c3b86a3647a62327e1de81d5d0db098a
- https://github.com/webmin/webmin/commit/c861e308f4ee4cff1795ccc7621fc75623e1bb90
- https://www.vulncheck.com/advisories/webmin-through-2.670-privilege-escalation-via-acl-save-group-cgi
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.