Webmin/Usermin Unspecifed Information Disclosure Vulnerability

Bugtraq ID:	18744
Class:	Input Validation Error
CVE:	CVE-2006-3392
Remote:	Yes
Local:	No
Published:	Jun 30 2006 12:00AM
Updated:	Oct 24 2006 11:33PM
Credit:	Kenny Chen is credited with the discovery of this vulnerability.
Vulnerable:	Webmin Webmin 1.280 Webmin Webmin 1.270 Webmin Webmin 1.260 Webmin Webmin 1.250 Webmin Webmin 1.240 Webmin Webmin 1.230 Webmin Webmin 1.220 Webmin Webmin 1.210 Webmin Webmin 1.200 Webmin Webmin 1.190 Webmin Webmin 1.180 Webmin Webmin 1.170 Webmin Webmin 1.160 Webmin Webmin 1.150 Webmin Webmin 1.140 Webmin Webmin 1.130 Webmin Webmin 1.121 Webmin Webmin 1.110 Webmin Webmin 1.100 Webmin Webmin 1.0 90 Webmin Webmin 1.0 80 Webmin Webmin 1.0 70 + HP Apache-Based Web Server 1.3.27 .01 + HP Apache-Based Web Server 1.3.27 .01 + HP Webmin-Based Admin 1.0.1 .01 + HP Webmin-Based Admin 1.0.1 .01 + Turbolinux Turbolinux Server 8.0 + Turbolinux Turbolinux Server 8.0 + Turbolinux Turbolinux Server 7.0 + Turbolinux Turbolinux Server 7.0 + Turbolinux Turbolinux Workstation 8.0 Webmin Webmin 1.0 60 Webmin Webmin 1.0 50 Webmin Webmin 1.0 20 Webmin Webmin 1.0 00 Webmin Usermin 1.180 Webmin Usermin 1.170 Webmin Usermin 1.160 Webmin Usermin 1.150 Webmin Usermin 1.140 Webmin Usermin 1.130 Webmin Usermin 1.120 Webmin Usermin 1.110 Webmin Usermin 1.0 Webmin Usermin 1.0 Webmin Usermin 0.99 + Mandriva Linux Mandrake 9.0 Webmin Usermin 0.98 + HP Apache-Based Web Server 2.0.43 .00 + HP Apache-Based Web Server 1.3.27 .00 + HP Webmin-Based Admin 1.0 .01 Webmin Usermin 0.97 + MandrakeSoft Single Network Firewall 7.2 + Mandriva Linux Mandrake 8.2 ppc + Mandriva Linux Mandrake 8.2 + Mandriva Linux Mandrake 8.1 ia64 + Mandriva Linux Mandrake 8.1 + Mandriva Linux Mandrake 8.0 ppc + Mandriva Linux Mandrake 8.0 + Mandriva Linux Mandrake 7.2 Webmin Usermin 0.96 Webmin Usermin 0.95 Webmin Usermin 0.94 + Debian Linux 3.0 sparc + Debian Linux 3.0 s/390 + Debian Linux 3.0 ppc + Debian Linux 3.0 mipsel + Debian Linux 3.0 mips + Debian Linux 3.0 m68k + Debian Linux 3.0 ia-64 + Debian Linux 3.0 ia-32 + Debian Linux 3.0 hppa + Debian Linux 3.0 arm + Debian Linux 3.0 alpha Webmin Usermin 0.93 Webmin Usermin 0.92 Webmin Usermin 0.91 Webmin Usermin 0.9 Webmin Usermin 0.8 Webmin Usermin 0.7 Webmin Usermin 0.6 Webmin Usermin 0.5 Webmin Usermin 0.4 Mandriva Linux Mandrake 2006.0 x86_64 Mandriva Linux Mandrake 2006.0 MandrakeSoft Corporate Server 3.0 x86_64 MandrakeSoft Corporate Server 3.0 Gentoo Linux Debian Linux 3.1 sparc Debian Linux 3.1 s/390 Debian Linux 3.1 ppc Debian Linux 3.1 mipsel Debian Linux 3.1 mips Debian Linux 3.1 m68k Debian Linux 3.1 ia-64 Debian Linux 3.1 ia-32 Debian Linux 3.1 hppa Debian Linux 3.1 arm Debian Linux 3.1 amd64 Debian Linux 3.1 alpha Debian Linux 3.1
Not Vulnerable:	Webmin Webmin 1.290 Webmin Usermin 1.220

Webmin/Usermin Unspecifed Information Disclosure Vulnerability

Webmin and Usermin are prone to an unspecified information-disclosure vulnerability. This issue is due to a failure in the applications to properly sanitize user-supplied input.

An attacker can exploit this issue to retrieve potentially sensitive information.

This issue affects Webmin versions prior to 1.290 and Usermin versions prior to 1.220.

Unconfirmed reports suggest that this issue is the same as the one discussed in BID 18613 (Webmin Remote Directory Traversal Vulnerability). However, the fixes associated with that issue did not completely solve the vulnerability.

Webmin/Usermin Unspecifed Information Disclosure Vulnerability

Attackers can exploit this issue through a web client.

The following exploit is available:

• /data/vulnerabilities/exploits/webmin-jul-13-2006.pl
• /data/vulnerabilities/exploits/Webmin-Usermin-info.php

Webmin/Usermin Unspecifed Information Disclosure Vulnerability

Solution:
The vendor has released Usermin 1.220 and Webmin 1.290 to address this issue.

Please see the references for more information.


Webmin Usermin 0.4

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.5

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.6

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.7

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.8

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.9

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.91

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.92

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.93

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.94

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.95

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.96

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.97

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.98

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 0.99

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 1.0

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.0 90

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.0 80

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.0 20

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.0

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.0 00

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.0 50

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.0 70

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.0 60

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.100

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.110

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.110

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.120

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.121

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.130

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.130

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.140

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.140

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.150

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.150

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.160

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.160

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Usermin 1.170

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.170

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Usermin 1.180

• Webmin usermin-1.220.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/usermin-1.220.tar.gz

Webmin Webmin 1.180

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.190

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.200

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.210

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.220

• Mandriva webmin-1.121-4.6.C30mdk.noarch.rpm
  Mandriva Linux 2006.0:
  http://wwwnew.mandriva.com/en/downloads/


• Mandriva webmin-1.220-9.4.20060mdk.noarch.rpm
  Mandriva Linux 2006.0:
  http://wwwnew.mandriva.com/en/downloads/


• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.230

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.240

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.250

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.260

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.270

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin Webmin 1.280

• Webmin webmin-1.290.tar.gz
  http://webmin.com/cgi-bin/redirect.cgi/install/http://prdownloads.sour ceforge.net/webadmin/webmin-1.290.tar.gz

Webmin/Usermin Unspecifed Information Disclosure Vulnerability

References:

• Webmin Homepage (Webmin)