Webmin のコマンドインジェクションの脆弱性（CVE-2019-15107）

何が起きた

サーバー管理ツール Webmin の password_change.cgi で、old という値を使って OS のコマンドを実行できる弱点が見つかり、実際に悪用が確認されています。Webmin の案内によると、これは開発用のサーバーが攻撃され、配布されたプログラムに裏口（バックドア）が仕込まれていたものです。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに攻撃できます。CISA の一覧では、ランサムウェアでの悪用も確認済みとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Webmin 1.920 以前を使っている人・組織が対象です。Webmin の案内では、1.890 は初期設定のままでも悪用でき、1.900 から 1.920 は、期限切れのパスワードの変更を許す設定を有効にしている場合だけ悪用できるとされています。

何をすればいい

Webmin の案内に従い、1.930 以降に更新されているか確認してください。すぐに更新できず、1.900 から 1.920 を使っている場合は、/etc/webmin/miniserv.conf から passwd_mode= の行を消し、/etc/webmin/restart を実行する方法もあります。あわせて、Webmin の公式の案内を確認してください。

やることチェックリスト

• Webmin を 1.930 以降に更新する
• Webmin のバージョンを確認する
• passwd_mode= の行を消して再起動する

用語メモ

バックドア

正規の手順を通らずに、こっそり中に入ったり操作したりできるように仕込まれた裏口のことです。

OS のコマンド

サーバーの基本ソフトに直接出す命令のことです。ファイルの操作やプログラムの起動などができます。

ランサムウェア 用語集で見る

データを使えなくして、元に戻すことと引き換えにお金を要求する悪いプログラムです。