Webmin においてパスワード変更機能に仕込まれたバックドアコードにより遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2020.04.08(水)

Webmin においてパスワード変更機能に仕込まれたバックドアコードにより遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

2019 年 8 月に、OS 管理ツールである Webmin に、認証を必要とせずに遠隔から任意の命令の実行を強制させることが可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
http://www.webmin.com/exploit.html
http://www.webmin.com/exploit.html 全 1 枚 拡大写真
◆概要

2019 年 8 月に、OS 管理ツールである Webmin に、認証を必要とせずに遠隔から任意の命令の実行を強制させることが可能となる脆弱性が報告されています。攻撃者に脆弱性を悪用されてしまった場合、権限を昇格され、遠隔からroot 権限でサーバの制御を奪われてしまいます。バージョンのアップデートにより速やかに対策してください。

◆分析者コメント

ソフトウェアの性質上、遠隔コード実行の脆弱性が存在する場合は、root 権限でコードが実行されてしまうため、悪用されると即座に対象サーバの root権限を奪取されてしまう脆弱性です。2019 年 1 月から Webmin に、遠隔コード実行につながる脆弱性が相次いで報告されています。他の脆弱性とは異なり今回報告された脆弱性は管理用コンソールへの認証を必要としない脆弱性であるため、速やかに対策する必要があります。

◆深刻度(CVSS)

[CVSS v2]10.0https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-15107&vector=(AV:N/AC:L/Au:N/C:C/I:C/A:C)

[CVSS v3]9.8https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-15107&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

◆影響を受けるソフトウェア

Webmin のバージョン 1.890 から 1.920 が当該脆弱性の影響を受けます。

◆解説

Web ブラウザベースの Linux/Unix 向けの OS 管理ツールである Webmin に、認証を必要とせずに、遠隔から任意のコードの実行を強制することが可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. ビデオ会議アプリ「Zoom」に、ログイン情報の窃盗などの脆弱性(IPA)

    ビデオ会議アプリ「Zoom」に、ログイン情報の窃盗などの脆弱性(IPA)

  2. きみに読んでほしい3冊:セキュリティブックガイド 第3回 ソリトンシステムズ 荒木 粧子 「セキュリティ業界に飛び込んだきみへ」

    きみに読んでほしい3冊:セキュリティブックガイド 第3回 ソリトンシステムズ 荒木 粧子 「セキュリティ業界に飛び込んだきみへ」

  3. 楽天市場・ヤフーショッピング特化の自動更新ツールへ不正アクセス、一部改ざん被害も(Ryuki Design)

    楽天市場・ヤフーショッピング特化の自動更新ツールへ不正アクセス、一部改ざん被害も(Ryuki Design)

  4. 従業員が顧客の取引履歴をツイート、社内規定に則り処分予定(晴れる屋)

    従業員が顧客の取引履歴をツイート、社内規定に則り処分予定(晴れる屋)

  5. iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

    iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

  6. 検疫隔離に従わなければ発砲のフィリピン、新型コロナウイルスキャリア追跡アプリ開発

    検疫隔離に従わなければ発砲のフィリピン、新型コロナウイルスキャリア追跡アプリ開発

  7. 成人動画サービスの顧客情報漏えい続報、原因はCDNのキャッシュか(ソフト・オン・デマンド)

    成人動画サービスの顧客情報漏えい続報、原因はCDNのキャッシュか(ソフト・オン・デマンド)

  8. 複数のヤマハ製ネットワーク機器にDoSの脆弱性(JVN)

    複数のヤマハ製ネットワーク機器にDoSの脆弱性(JVN)

  9. 2019年消費者向けサイバーセキュリティ国際調査結果公開(ノートンライフロック)

    2019年消費者向けサイバーセキュリティ国際調査結果公開(ノートンライフロック)

  10. セーブデータの改造ツール提供の法人ら、技術的制限の不正回避で摘発(ACCS)

    セーブデータの改造ツール提供の法人ら、技術的制限の不正回避で摘発(ACCS)

ランキングをもっと見る