Webmin 2.641 修复三个漏洞，其中包括一个严重的身份验证绕过漏洞

sec随谈
sec随谈

sec随谈

2026年6月24日 09:10
北京

在小说阅读器读本章

去阅读

简要概述

Webmin 发布了 2.641 版本，修复了三个安全漏洞。其中最严重的一个允许未经身份验证的攻击者冒充任意用户。另外两个漏洞可绕过多因素认证（MFA）并暴露配置文件。目前尚未发现公开的漏洞利用案例。

为何值得关注

Webmin 是运行在类 Unix 服务器上的基于 Web 的管理面板，每年估计安装量达 100 万次。因此，一个漏洞就可能让攻击者控制大量系统。该工具管理着用户、服务、DNS 服务器和数据库，一旦被攻破，整个技术栈都将面临风险。此外，管理面板处于服务器信任体系的核心位置，进一步提升了威胁等级。

攻击方式

CVE-2026-56020（CVSS 9.2）

Webmin 的 HTTP 服务器 miniserv.pl 会信任伪造的 HTTP 头部。因此，远程攻击者可以伪造证书 DN，无需凭据即可以任意已配置用户的身份进行身份验证。这是本次最严重的漏洞。

CVE-2026-56022（CVSS 6.9）

通过构造 User-Agent: webmin 头部，可使 Webmin 在没有会话 Cookie 的情况下接受基本认证，从而绕过额外的 MFA 检查。

CVE-2026-56021（CVSS 6.9）

由于正则表达式存在绕过缺陷，未经身份验证的用户可读取模块目录中任意以 .conf 结尾的文件，进而获取配置信息和敏感凭据。

受影响版本

上述三个漏洞均影响 2.641 版本之前的所有 Webmin 发行版，且在默认配置下即可触发，并非仅限于特殊配置场景。详细信息可参阅官方安全公告。

补丁与缓解措施

请立即升级至 Webmin 2.641，该版本已修复上述全部三个漏洞，可从官方发布页面获取。目前没有可替代补丁的独立缓解方案，请尽快完成升级。在升级之前，建议限制对 Webmin 端口的网络访问，同时监控日志中异常的 User-Agent 字符串及意外的证书登录行为。

参考链接：

https://webmin.com/security/#webmin-prior-to-2641