ブログシステム「awkblog」に OSコマンドインジェクションの脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月30日、Keisuke Nakayamaが提供する「awkblog」にOSコマンドインジェクションの脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。株式会社ラック / ニューリジェンセキュリティ株式会社の山崎圭吾氏がIPAに報告を行った。

　「awkblog」は、awkで実装されたブログシステム。影響を受けるシステムは以下の通り。

・awkblog v0.0.1（commit hash:7b761b192d0e0dc3eef0f30630e00ece01c8d552）およびそれ以前のバージョン

　このバージョンには、OSコマンドインジェクションの脆弱性（CVE-2024-36360）が存在する。CVSS v3による基本値は9.8。この脆弱性は、悪意ある第三者によって細工されたHTTPリクエストを送信され、当該製品を実行するマシン上において、当該製品の権限で任意のOSコマンドを実行される可能性がある。

　JVNでは、開発者が提供する情報をもとにパッチを適用するよう呼びかけている。なお、開発者は本脆弱性の対策として次のパッチをリリースしている。

・awkblog v0.0.2（commit hash:13f62021258f7256f1567c4bb5fa6bddcfccde72）