「Usermin」におけるクロスサイトスクリプティング、並びにそれを通じたOSコマンドの実行

LAC Advisory No.118

Problem first discovered on: Fri, 04 Jul 2008
Published on: Tue, 24 Jun 2014

脅威度

中～高

概要

「Usermin」のウェブメール機能にはクロスサイトスクリプティングの脆弱性が存在します。
これによりコマンドシェル機能を悪用されOSコマンドを実行されるなどの恐れがあります。

詳細

「Usermin」は、ウェブメールを管理するためのウェブインターフェースを提供するツールです。

「Usermin」には、クロスサイトスクリプティングの脆弱性が存在します。
悪意あるメールを受信した後にメール一覧画面を表示すると、任意のスクリプトが実行され、
コマンドシェル機能を通じたOSコマンド実行などをおこなわれる恐れがあります。

• ※Userminにログインしたユーザの権限で、任意のOSコマンドが実行されます。

スクリーンショット

「root」ユーザが悪意あるメールを含むメール一覧を表示し、OSコマンドが実行された様子

影響を受けるバージョン

Usermin バージョン 1.600 より前のバージョン

対策

下記サイトの情報をもとに、開発者が提供する情報をもとにアップデートしてください

Usermin

http://www.webmin.com/usermin.html

発見者

山崎 圭吾（ペンテスト技術部）

謝辞：
本問題は、情報処理推進機構（IPA） および JPCERT/CC による『情報セキュリティ早期警戒パートナーシップ』に従い、2008年6月に届出をおこなったものです。

「Usermin」における OS コマンド・インジェクションの脆弱性の対策について(JVN#48805624) ：IPA 独立行政法人 情報処理推進機構

http://www.ipa.go.jp/security/ciadr/vul/20140620-jvn.html

JVN#48805624: Usermin における OS コマンドインジェクションの脆弱性

http://jvn.jp/jp/JVN48805624/

JVN#92737498: Usermin におけるクロスサイトスクリプティングの脆弱性

http://jvn.jp/jp/JVN92737498/

CVE番号:
CVE-2014-3883

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3883