メディア

WebminにCVSS 9.9の脆弱性　一般ユーザーがシステムを完全に制御できるリスク：セキュリティニュースアラート

WebminにCVSS 9.9の脆弱性「CVE-2024-12828」が見つかった。この脆弱性はリモートからの任意のコード実行を可能にする。管理者には迅速なアップデートが推奨されている。

» 2024年12月26日 07時30分公開

[後藤大地，有限会社オングス]

この記事は会員限定です。会員登録すると全てご覧いただけます。

　Zero Day Initiativeは2024年12月20日（現地時間）、UNIX系OSのWebベース管理ツール「Webmin」に深刻な脆弱（ぜいじゃく）性が存在することを報告した。悪用された場合、リモートコード実行が可能になる。

人気のWebベース管理ツール「Webmin」にCVSS 9.9の脆弱性　急ぎ対処を

　この脆弱性は「CVE-2024-12828」として特定されている。CVE-2024-12828はCGIコマンドインジェクションの脆弱性とされ、システムコールを実行する前に、ユーザーが指定した文字列を、適切に検証しないために発生する。リモートの攻撃者はこの脆弱性を利用することで、Webminのインストール時に任意のコードを実行できるとされている。

　脆弱性の悪用には認証が必要だが、共通脆弱性評価システム（CVSS）のスコアは9.9（Critical）と高く分析されている。その理由は権限の低いWebminユーザーが管理者権限で任意のコードを実行できる点にあり、一般ユーザーがシステムを完全に制御できる可能性がある。

　脆弱性の影響を受けるバージョンは以下の通りだ。

Webmin 2.105およびこれ以前のバージョン

　脆弱性が修正されたバージョンは以下の通りだ。

Webmin 2.111およびこれ以降のバージョン

　Webminは「Windows」のように手軽なシステム管理をLinuxなどのUNIX系OSに提供する。そのため幅広い層に人気があり、年間100万回以上インストールされている。CVE-2024-12828は個人利用の環境にはほぼ影響しないが、特定多数が利用している環境に深刻な影響がある。Webminに一般ユーザーアカウントが存在する場合、侵害される可能性があるため、迅速にアップデートを適用することが推奨される。

Google カレンダーを悪用した巧妙なサイバー攻撃を確認　推奨される防御策は？
チェック・ポイントはGoogle カレンダーやGoogle図形描画がサイバー犯罪者に悪用されている事例を報告した。利用者の多いGoogleのサービスはしばしば悪用されるため注意が必要だ。有効な防御策は何か。
Windows 11最新アップデート「23H2」に特権昇格の脆弱性　cldflt.sysが引き起こすリスク
SSD Secure Disclosureは「Windows 11 23H2」に影響を与えるヒープベースのバッファーオーバーフローの脆弱性CVE-2024-30085を発表した。これを悪用することで特定の条件下で特権昇格が可能になるという。
ChatGPTは犯罪者たちの“良き相棒”に　ダークWebで観測した生成AIの悪用事例8選
生成AIを悪用したサイバー犯罪は既に現実のものとなっている。では攻撃者はこれをどのように悪用するのか。本稿はダークWebで観測した具体的な8つの悪用事例を解説するとともに、今後起き得る13のAIリスクについても紹介する。
IPAの「年末年始の注意喚起」を深堀り　意外と怠ってしまう重要ポイントとは？
2024年もそろそろおしまいです。IPAは本年も「年末年始における情報セキュリティに関する注意喚起」を公開しました。注意喚起の中でもスルーされがちですが。実は重要なポイントについてこのコラムで解説します。