Nein, das ist wohl korrekt so.

Nach den bisherigen Informationen ist das korrekt so. Wenn die
Remote-Verwaltung eingeschaltet ist, greift die Passwortabfrage und
der Exploit funktioniert nicht. Der Fehler ist ja gerade, dass man
kein Passwort eingeben muss, um Skripte als root auszuführen.