Webmin: Injection in die Benutzerdatei über Zertifikatsverwaltung führt zu Root-Zugriff
Zusammenfassung
Webmin bis einschliesslich Version 2.670 enthält eine Schwachstelle zur Injection in der Benutzerdatei über das Zertifikatsskript acl/cert_issue.cgi. Ein authentifizierter Webmin-Benutzer kann in den Zertifikats-DN-Feldern Zeilenumbrüche einschleusen, wodurch ein zweiter Root-Eintrag mit einem bekannten Passwort-Hash in der Benutzerdatei entsteht. Nach einem Neustart des miniserv-Dienstes kann der Angreifer Root-Zugriff auf Webmin erlangen.
Betroffen
- Webmin bis einschliesslich 2.670 (gemäss CVE-Eintrag und Aggregatoren)
Behoben in
- Unbekannt. Die Fix-Commits sind referenziert, eine bestätigte korrigierte Version ist jedoch nicht bekannt. Es darf nicht davon ausgegangen werden, dass 2.671 diese Schwachstelle behebt.
Umgehung
- Webmin-Konten auf vertrauenswürdige Administratoren beschränken.
- Zugriff auf den Webmin-Port auf ein Management-VPN oder auf freigegebene IP-Adressen beschränken.
- Webmin nicht aus dem Internet erreichbar machen.
Ausnutzung
- Bis 11. Nov 2026 ist keine Ausnutzung bekannt.
- Kein öffentlicher Proof of Concept gefunden; das Fehlen ist nicht bestätigt.
- Für die Ausnutzung sind gültige Webmin-Zugangsdaten mit niedrigen Rechten nötig (PR:L).
Unsere Empfehlung
- Prüfen, welche Systeme Webmin betreiben und ob diese aus dem Internet erreichbar sind; Zugriff umgehend einschränken.
- Webmin-Konten auf die wenigen Administratoren beschränken, die sie benötigen, und nicht benötigte Konten entfernen.
- Die Webmin-Benutzerdatei auf unerwartete Einträge prüfen und Änderungen daran alarmieren.
- Die erste korrigierte Webmin-Version installieren, sobald der Hersteller sie bestätigt; die Webmin-Sicherheitsseite regelmässig prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Fix commit 0c449e34 github.com
- Commit 8fb194e5 github.com
- cert_issue.cgi at 2.670 github.com
- CVE-2026-126781 aggregator record cve.threatint.com
- CVE-2026-126781 radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:31.
Referenzen der NVD (4)
- https://github.com/webmin/webmin/blob/2.670/acl/cert_issue.cgi#L22-L52
- https://github.com/webmin/webmin/commit/0c449e341746d8c445c8c7db223eac1f41755943
- https://github.com/webmin/webmin/commit/8fb194e5fbc30a6664545d48940d03759ace9bf2
- https://www.vulncheck.com/advisories/webmin-through-2.670-users-file-injection-via-acl-cert-issue-cgi
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.