WebminにおけるOSコマンドインジェクションの脆弱性

現在位置

English Edition

SNS Advisory No.95
Webmin miniserv.pl Shell Command Injection Vulnerability

Problem first discovered on： Sun, 10 Jun 2007
Published on： Wed, 03 Oct 2007

脅威度：
高

概要：
バージョン1.360以前のWebminには、Windows環境で動作させた場合にOSコマンドインジェクションが可能である脆弱性が存在しています。

詳細：
WebminはWebベースのシステム管理ツールであり、UNIXやMacOS X、Windowsで動作します。

Webminを動作させるWebサーバプログラムであるminiserv.plには、open文を使ってCGIを起動する時の引数の取り扱いに問題があります。

このため、特別に形作られたURLへアクセスすることで、CGIを起動する際に、URL中に指定された任意のOSコマンドを実行させることが可能です。（OSコマンドインジェクション）

この脆弱性を利用して、下記のような攻撃が行われる恐れがあります：
権限の低いWebminユーザが管理者権限へ昇格すること
正規のWebminユーザを悪意あるURLへ誘導することで、Webminサーバ上で任意のOSコマンドを実行させること

影響のあるバージョン：
Webmin（on Windows） Version 1.360、およびそれ以前

対策：
Webmin バージョン 1.370以降へアップデートすることでこの問題を解消することができます。
これは以下のURLより入手可能です。

発見者：
山崎圭吾（LAC）

謝辞：
本問題は、情報処理推進機構（IPA）、およびJPCERT/CCによる『情報システム等の脆弱性関連情報の届出制度』に従い届出を行いました。

免責：
このアドバイザリで示される情報は予告なしに変更されることがあり、かつ、あるがままの形で提供されます。この情報を適用し生起される結果のリスクは利用者が負うものとし、株式会社ラックは一切の責任を負わないものとします。

再配布について：
このアドバイザリの再配布は、下記条件を満たす限り自由です。

発行元URLとして、以下のURLを明記する。
http://www.lac.co.jp/info/advisory/95.html

サイトガイド