アーカイブ
「Usermin」におけるクロスサイトスクリプティング、並びにそれを通じたOSコマンドの実行
2014年6月24日 | 注意喚起
LAC Advisory No.118
Problem first discovered on: Fri, 04 Jul 2008
Published on: Tue, 24 Jun 2014
脅威度
中～高
概要
「Usermin」のウェブメール機能にはクロスサイトスクリプティングの脆弱性が存在します。
これによりコマンドシェル機能を悪用されOSコマンドを実行されるなどの恐れがあります。
詳細
「Usermin」は、ウェブメールを管理するためのウェブインターフェースを提供するツールです。
「Usermin」には、クロスサイトスクリプティングの脆弱性が存在します。
悪意あるメールを受信した後にメール一覧画面を表示すると、任意のスクリプトが実行され、
コマンドシェル機能を通じたOSコマンド実行などをおこなわれる恐れがあります。
- ※Userminにログインしたユーザの権限で、任意のOSコマンドが実行されます。
スクリーンショット
「root」ユーザが悪意あるメールを含むメール一覧を表示し、OSコマンドが実行された様子
影響を受けるバージョン
Usermin バージョン 1.600 より前のバージョン
対策
下記サイトの情報をもとに、開発者が提供する情報をもとにアップデートしてください
Usermin
http://www.webmin.com/usermin.html
発見者
山崎 圭吾（ペンテスト技術部）
謝辞：
本問題は、情報処理推進機構（IPA） および JPCERT/CC による『情報セキュリティ早期警戒パートナーシップ』に従い、2008年6月に届出をおこなったものです。
「Usermin」における OS コマンド・インジェクションの脆弱性の対策について(JVN#48805624) ：IPA 独立行政法人 情報処理推進機構
http://www.ipa.go.jp/security/ciadr/vul/20140620-jvn.html
JVN#48805624: Usermin における OS コマンドインジェクションの脆弱性
http://jvn.jp/jp/JVN48805624/
JVN#92737498: Usermin におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN92737498/
CVE番号:
CVE-2014-3883
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3883