CVE 데이터베이스CVE-2019-15107

최종 갱신 2026-08-06English Advisory →

CVE-2019-151079.8/CRITICALCISA KEV 등재CWE-78CWE-78

Webmin password_change.cgi 원격 명령 실행(RCE) 취약점 (CVE-2019-15107)

Q: CVE-2019-15107 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-15107의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q: CVE-2019-15107에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 webmin이며, 대상 컴포넌트는 webmin입니다. 상세 영향 범위: Webmin 1.920 및 이하 버전 (특히 password_change.cgi가 활성화되어 있고 비밀번호 만료 설정이 켜져 있는 환경)

Q: 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Webmin 버전을 최신 안전한 버전(1.930 이상)으로 즉시 업그레이드하고, 패치 적용 전까지 password_change.cgi 스크립트에 대한 외부 접근을 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

webmin

대상 컴포넌트 / 패키지

webmin

권고문 발행일

2019-08-16

CVSS v3.1

9.8

CRITICAL

30일 악용확률

99.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Webmin 1.920 및 이하 버전 (비밀번호 변경 기능이 활성화된 환경)

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 HTTP POST 요청을 전송하여 대상 시스템에서 root 권한으로 임의의 시스템 명령을 실행할 수 있습니다.

권장 조치

Webmin 버전을 최신 안전한 버전(1.930 이상)으로 즉시 업그레이드하고, 패치 적용 전까지 password_change.cgi 스크립트에 대한 외부 접근을 차단하십시오.

영향받는 제품 및 버전 범위

Webmin 1.920 및 이하 버전 (특히 password_change.cgi가 활성화되어 있고 비밀번호 만료 설정이 켜져 있는 환경)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Webmin 공식 패치가 적용된 최신 버전(1.930 이상)으로 패키지를 업그레이드하십시오.

bash

# Debian/Ubuntu 계열 시스템 업그레이드
sudo apt-get update
sudo apt-get --only-upgrade install webmin -y

# RedHat/CentOS 계열 시스템 업그레이드
sudo yum update webmin -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 업그레이드가 어려운 경우, Webmin 설정 파일(/etc/webmin/miniserv.conf)에서 비밀번호 변경 기능을 비활성화하거나 취약한 CGI 파일의 실행 권한을 제거하십시오.

bash

# 1. miniserv.conf에서 passwd_mode 설정을 0으로 변경하여 기능 비활성화
sudo sed -i 's/passwd_mode=[0-9]/passwd_mode=0/g' /etc/webmin/miniserv.conf
sudo systemctl restart webmin

# 2. 취약한 password_change.cgi 파일의 실행 권한 제거 또는 삭제
sudo chmod 000 /usr/share/webmin/password_change.cgi

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Webmin 접근 로그에서 password_change.cgi를 호출한 비정상적인 POST 요청 및 페이로드 유입 여부를 점검하십시오.

bash

# Webmin miniserv.log에서 password_change.cgi 호출 흔적 및 명령 주입 패턴 검색
sudo grep 'password_change.cgi' /var/webmin/miniserv.log

# 현재 설치된 Webmin 버전 확인
/usr/share/webmin/version

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 및 실제 악용 사례가 확인된 취약점이므로, Webmin 버전을 즉시 1.930 이상으로 업그레이드하거나 password_change.cgi 파일을 비활성화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Unix 계열 시스템 관리 웹 인터페이스인 Webmin의 password_change.cgi 구성 요소에서 발생하는 원격 명령 주입(Command Injection) 취약점입니다. 취약점의 근본 원인은 사용자 비밀번호 변경 요청을 처리하는 과정에서 입력값 검증이 미흡했기 때문입니다. 특히, old 매개변수에 전달되는 이전 비밀번호 값이 쉘 메타문자 필터링 없이 시스템 명령 실행 함수(예: qx/../ 또는 백틱)로 직접 전달되어 공격자가 주입한 임의의 OS 명령어가 실행되는 백도어성 코드가 포함되어 있었습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Webmin 포트(기본 10000)로 password_change.cgi를 호출하는 HTTP POST 요청을 전송합니다. 이때 요청 바디에 user=root&pam=&expired=2&old=test|id&new1=test&new2=test와 같은 형태로 페이로드를 구성합니다. old 매개변수 내부에 파이프 문자(|) 또는 세미콜론(;)과 함께 실행하고자 하는 OS 명령어를 삽입하면, Webmin 백엔드 프로세스는 이를 검증 없이 쉘 환경에서 실행하게 됩니다. 이 과정에서 별도의 세션 인증이나 유효한 자격증명이 필요하지 않아 매우 손쉽게 익스플로잇이 가능합니다.

3. 비즈니스 및 인프라 파급 영향

Webmin은 일반적으로 시스템의 최고 관리자(root) 권한으로 동작하므로, 본 취약점을 통한 명령 실행 역시 root 권한으로 수행됩니다. 공격자가 시스템의 완전한 제어권을 획득하여 민감한 데이터를 탈취하거나, 악성코드를 유포하는 거점으로 활용할 수 있습니다. 또한 내부 네트워크로의 횡적 이동(Lateral Movement)을 시도할 수 있어 기업 인프라 전체에 심각한 보안 위협을 초래합니다. 본 취약점은 실제 공격에 악용된 이력이 존재하여 CISA KEV 목록에 등재되어 있으며, EPSS 점수가 매우 높아 즉각적인 조치가 요구됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An issue was discovered in Webmin <=1.920. The parameter old in password_change.cgi contains a command injection vulnerability.

http://packetstormsecurity.com/files/154141/Webmin-1.920-Remote-Command-Execution.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/154141/Webmin-Remote-Comman-Execution.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/154197/Webmin-1.920-password_change.cgi-Backdoor.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/154485/Webmin-1.920-Remote-Code-Execution.html

출처: cve@mitre.org · Third Party Advisory, VDB Entry

http://www.pentest.com.tr/exploits/DEFCON-Webmin-1920-Unauthenticated-Remote-Command-Execution.html

출처: cve@mitre.org · Exploit, Third Party Advisory

http://www.webmin.com/security.html

출처: cve@mitre.org · Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2019-15107)

FAQ

Q1. CVE-2019-15107 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-15107의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-15107에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 webmin이며, 대상 컴포넌트는 webmin입니다. 상세 영향 범위: Webmin 1.920 및 이하 버전 (특히 password_change.cgi가 활성화되어 있고 비밀번호 만료 설정이 켜져 있는 환경)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Webmin 버전을 최신 안전한 버전(1.930 이상)으로 즉시 업그레이드하고, 패치 적용 전까지 password_change.cgi 스크립트에 대한 외부 접근을 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동