awkblogにおけるOSコマンドインジェクションの脆弱性（JVN#80506242） | LAC WATCH

awkblogにおけるOSコマンドインジェクションの脆弱性（JVN#80506242） | LAC WATCH

LAC Advisory No.136 デジタルペンテスト部の山崎です。 プログラミング言語awkで書かれたブログシステ...概要を表示 LAC Advisory No.136 デジタルペンテスト部の山崎です。 プログラミング言語awkで書かれたブログシステム「awkblog」に、悪意ある第三者によって認証なしに任意のOSコマンドが実行されてしまう脆弱性を発見しました。2024年2月15日にIPAに届出をおこない、2024年5月30日にJVNにて公表されました。 影響を受けるシステム awkblog v0.0.1（commit hash:7b761b192d0e0dc3eef0f30630e00ece01c8d552）およびそれ以前のバージョン 解説 Keisuke Nakayama氏が提供するawkblogには、OSコマンドインジェクション（CWE-78）の脆弱性が存在します。悪意ある第三者によって細工されたHTTPリクエストを送信され、当該製品を実行するマシン上において、当該製品の権限で任意のOSコマンドを実行される可能

• security