Trusted DesignCVE-2022-44877 の詳細
CVEの情報
説明:
login/index.php in CWP (aka Control Web Panel or CentOS Web Panel) 7 before 0.9.8.1147 allows remote attackers to execute arbitrary OS commands via shell metacharacters in the login parameter.
CVE更新日: 2023-01-05 23:15:09.150000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-01-17
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999950000
EPSS更新日: 2026-10-19 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2022-44877: Control Web Panel (CWP)における認証不要のリモートコード実行の脆弱性
1. 脆弱性の概要
CVE-2022-44877は、Control Web Panel (CWP) (旧称: CentOS Web Panel) のバージョン7 (0.9.8.1147より前のバージョン) に存在する、深刻なコマンドインジェクションの脆弱性です。この脆弱性は
login/index.phpファイルに存在し、loginパラメータにシェルメタ文字を挿入することで、認証されていないリモートの攻撃者が任意のOSコマンドを実行できる可能性があります。この脆弱性は、すでに実環境での悪用が確認されており、CISAの「Known Exploited Vulnerabilities (KEV)」カタログにも掲載されています。1.1 影響
この脆弱性は、認証されていないリモートの攻撃者が、脆弱なCWPインストール上で任意のOSコマンドを実行し、完全なシステム侵害を達成することを可能にします。多くの場合、CWPはroot権限で動作するため、攻撃者はroot権限でコードを実行できる可能性があります。
1.2 深刻度
CVSSv3スコアは9.8と評価されており、これは「緊急 (Critical)」レベルに相当する極めて高い深刻度です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、CentOS Linuxをベースにしたサーバー管理ツールであるControl Web Panel (CWP) (またはCentOS Web Panel) に影響を与えます。 具体的には、Control Web Panel (CWP) 7のバージョン0.9.8.1147より前のバージョンが影響を受けます。
2.2 影響を受ける設定
login/index.phpコンポーネントにおけるユーザー入力の不適切なサニタイズが脆弱性の原因です。認証は不要であり、CWPログインページへのネットワークアクセスがあれば、攻撃者はこの脆弱性を悪用できます。CWPが通常使用するポートはHTTPで2030または2086、HTTPSで2031または2087です。3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
影響を受けるCWPユーザーは、できるだけ早くCWPをバージョン0.9.8.1147以降にアップグレードすることを強く推奨します。 バージョン0.9.8.1147は2022年10月25日にリリースされ、本脆弱性は修正されています。 最新バージョンは0.9.8.1148（2022年12月1日リリース）も脆弱性を修正しています。
4.2 暫定回避策（緩和策）
参照したサイト