Linux向け管理ツール「CWP」に脆弱性 - 実証コード公開、悪用も

Linux環境においてウェブベースの管理機能を提供する「Control Web Panel 7（旧Centos Web Panel）」に深刻な脆弱性が明らかとなった。実証コードが公開されており、悪用も確認されている。

同製品のログインページに「OSコマンドインジェクション」の脆弱性「CVE-2022-44877」が明らかとなったもの。リモートより認証なしにコードを実行されるおそれがある。Gais Cyber Securityの研究者が報告したもので、同脆弱性は2022年10月に公開された「同0.9.8.1147」にて修正済みだという。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。

脆弱性を発見した研究者は、現地時間2023年1月3日に同脆弱性に関する概念実証コード（PoC）を公表。実際に動作するところを収めた動画なども公開しており、容易に悪用が可能な状態だ。

脆弱性の悪用状況などを観測しているGreyNoiseは、現地時間1月6日より14日にかけてユニークな5件のIPアドレスより、脆弱性を狙うアクセスが行われたことを明らかにした。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）においても、悪用されているとの証拠があるとして、同脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加。重大な影響を及ぼすおそれがあるとして、注意を呼びかけている。

（Security NEXT - 2023/01/18 ）ツイート

Linux向け管理ツール「CWP」に脆弱性 - 実証コード公開、悪用も

関連リンク

PR

関連記事