CVEノート

最近の脆弱性 › CVE-2022-44877

CWP Control Web Panel のOSコマンドインジェクションの脆弱性（CVE-2022-44877）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2022-44877
製品CWP Control Web Panel
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-01-17
米国政府機関の対応期限2023-02-07
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78

何が起きた

サーバーを管理するための Web 画面 CWP Control Web Panel（以前の名前は CentOS Web Panel）のログインのページ（login/index.php）に、入力に特別な記号を混ぜると OS の命令を実行されてしまう弱点（OS コマンドインジェクション）が見つかりました。ログイン不要で、ネットワーク経由で離れた場所から悪用できます。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインページに接続する → 2. 入力欄に特別な記号と命令を混ぜて送る → 3. サーバーで OS の命令が実行される1攻撃者がログインページに接続する2入力欄に特別な記号と命令を混ぜて送る3サーバーで OS の命令が実行される攻撃の流れ: 1. 攻撃者がログインページに接続する → 2. 入力欄に特別な記号と命令を混ぜて送る → 3. サーバーで OS の命令が実行される1攻撃者がログインページに接続する2入力欄に特別な記号と命令を混ぜて送る3サーバーで OS の命令が実行される

誰が影響を受ける

CWP Control Web Panel を使ってサーバーを管理している人・組織が対象です。CVE の記録によると、CWP 7 の 0.9.8.1147 より前の版が影響を受けます（メーカーの情報では確かめられていません）。

何をすればいい

CWP 7 を 0.9.8.1147 以降に更新されているか確認し、古ければ更新してください。メーカーの勧告ページはこのデータにないため、公式の案内（CWP の更新情報）も確認してください。

やることチェックリスト

用語メモ

OS コマンドインジェクション
入力に命令を混ぜ込み、サーバーの OS にその命令を実行させてしまう攻撃や弱点のことです。
CentOS
サーバーでよく使われてきた、Linux という OS の種類の一つです。

元データ（英語・CISA KEV より）

CWP Control Web Panel OS Command Injection Vulnerability

概要

CWP Control Web Panel (formerly CentOS Web Panel) contains an OS command injection vulnerability that allows remote attackers to execute commands via shell metacharacters in the login parameter.

推奨対応

Apply updates per vendor instructions.

公式情報