[English]

JVNDB-2007-000730

Webmin における OS コマンドインジェクションの脆弱性

概要

ウェブベースのシステム管理ツールである Webmin には、許可されていない Webmin ユーザが OS コマンドを実行できる脆弱性があります。

Webmin はウェブベースのシステム管理ツールです。Windows 版の Webmin には、OS コマンド実行を許可されていない Webmin ユーザが、細工した URL を入力することにより、OS コマンドを実行できる脆弱性があります。

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。報告者： 株式会社ラック　山崎 圭吾　氏

CVSS による深刻度 (CVSS とは?)

基本値: 9.0 (危険) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的

影響を受けるシステム


Webmin Project
  • Webmin 1.360 およびそれ以前 (Windows 版)

想定される影響

Webmin を設置しているコンピュータにおいて、ローカルシステム権限で任意の OS コマンドを実行される可能性があります。
対策

Webmin プロジェクトからは本件への対策を含めた 1.370 が公開されています。
ベンダ情報

Webmin Project
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切な入力確認(CWE-20) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2007-5066
参考情報

  1. JVN : JVN#61208749
  2. National Vulnerability Database (NVD) : CVE-2007-5066
  3. IPA 緊急対策情報 : 「Webmin」におけるセキュリティ上の弱点（脆弱性）の注意喚起について
  4. IPA セキュリティセンター : JVN_61208749
  5. Secunia Advisory : SA26885
  6. SecurityFocus : 25773
  7. ISS X-Force Database : 36759
  8. SecurityTracker : 1018731
  9. FrSIRT Advisories : FrSIRT/ADV-2007-3243
更新履歴

[2007年10月11日]
  掲載

公表日2007/10/03
登録日2007/10/11
最終更新日2007/11/26