「Webmin」におけるセキュリティ上の弱点（脆弱性）の注意喚起について
最終更新日 2007年11月26日
独立行政法人 情報処理推進機構
セキュリティセンター
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原武平太）は、「Webmin」におけるセキュリティ上の弱点（脆弱性）に関する注意喚起を2007年10月3日に公表しました。
これは、Windows版のWebminにログインした悪意のあるユーザが、細工したリクエストを送信することで、Webminが設置されたコンピュータ上で、任意のOSコマンドが実行されるというものです。悪用されると、コンピュータ上で重要情報の漏えいや、設定ファイルの改ざん、ウイルスやボットなどの悪意あるツールがインストールされるなど、コンピュータが悪意あるユーザによって制御される可能性があります。
対策方法は「ベンダが提供する対策済みバージョンに更新する」ことです。
１．概要
Webminは、ウェブブラウザからリモートでOS上のファイルの編集やサーバ設定などの管理を行うことができるソフトウェアです。
Windows版Webminには、OSコマンドインジェクションというセキュリティ上の弱点(脆弱性)が存在します。この弱点が悪用されると、Windows版Webminが設置されたコンピュータ上で、任意のOSコマンドが実行されてしまう可能性があります。
２．セキュリティ上の弱点（脆弱性）による影響
Webminにログインした悪意あるユーザが、細工したリクエストを送信することで、Webminが設置されたコンピュータ上で重要情報の漏えいや、設定ファイルの改ざん、ウイルスやボットなどの悪意あるツールがインストールされるなど、コンピュータが悪意あるユーザによって制御される可能性があります。
最新情報は、次のURLを参照して下さい。
http://jvndb.jvn.jp/contents/ja/2007/JVNDB-2007-000730.html
３．対策方法
対策方法は「ベンダが提供する対策済みバージョンに更新する」ことです。
４．本脆弱性の深刻度
-
(1)評価結果
本脆弱性の深刻度
□ I（注意） □ II（警告） ■ III（危険） 本脆弱性のCVSS基本値
9.0 -
(2)CVSS基本値の評価内容
AV：攻撃元区分
□ ローカル
□ 隣接
■ ネットワーク
AC：攻撃条件の複雑さ
□ 高
□ 中
■ 低
Au：攻撃前の認証要否
□ 複数
■ 単一
□ 不要
C：機密性への影響
（情報漏えいの可能性）
□ なし
□ 部分的
■ 全面的
I：完全性への影響
（情報改ざんの可能性）
□ なし
□ 部分的
■ 全面的
A：可用性への影響
（業務停止の可能性）
□ なし
□ 部分的
■ 全面的
注）■：選択した評価結果
AV:AccessVector, AC:AccessComplexity, Au:Authentication,
C:ConfidentialityImpact, I:IntegrityImpact, A:AvailabilityImpact
５．参考情報
「情報セキュリティ早期警戒パートナーシップ」について
ソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン）に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています（図5-1参照）。
最新の届出状況は、 「脆弱性関連情報に関する届出状況（プレスリリース）」 を参照下さい。
なお、今回公表した脆弱性情報は、2007年6月12日に IPA が届出を受け、有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）が、製品開発者と調整を行ない、2007年10月3日に公表したものです。
図5-1．「情報セキュリティ早期警戒パートナーシップ」の基本枠組み
■本内容に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター（IPA/ISEC）
TEL：03-5978-7527 FAX：03-5978-7518
E-mail：
■報道関係からの問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部 広報グループ 横山／佐々木
TEL：03-5978-7503 FAX：03-5978-7510
E-mail：
更新履歴
| 2007年11月26日 | 最新情報のURLを、JVN iPediaへのリンクに修正しました。 |
|---|---|
| 2007年10月 3日 | 掲載 |