OS Command Injection Vulnerability in awkblog

[yammerjp]

awkblogにおける、OSコマンドインジェクションの脆弱性

公開日: 2024/05/22

English: #1 (comment)

gawkで実装されたWebアプリケーション awkblog の v0.0.1 において、第三者を含む外部からのHTTPリクエストに起因したOSコマンドインジェクションの脆弱性が判明しました。この脆弱性を悪用された場合、悪意のある第三者により、awkblogを実行するコンピュータ上で、任意のOSコマンドが実行される危険性があります。
以下に、詳細を示します。該当のバージョンを利用している場合は、修正したバージョンへ切り替えて、アプリケーションを実行してください。

脆弱性に該当する製品名およびバージョン

• 製品名: awkblog (https://github.com/yammerjp/awkblog)
• 該当バージョン: v0.0.1 (commit hash: 7b761b1 以前のもの)

脆弱性の内容

特定のHTTPリクエストに起因し、OSコマンドインジェクションによるOSコマンド実行が可能である脆弱性。

脆弱性によって発生しうる影響

第三者を含む、WebアプリケーションへHTTPリクエストを発行可能な攻撃者の操作を元に、Webアプリケーションをホストするマシン上で、Webアプリケーションプロセスの実行権限において、任意コマンド実行が可能である。

脆弱性への対応方法と適用方法

パッチの適用されたバージョン v0.0.2 (commit hash: 13f6202) で、Webアプリケーションを起動する。

連絡先

本件につきまして、お問い合わせ等の内容があれば、以下の連絡先にご連絡ください。

メールアドレス: me@yammer.jp

[yammerjp]

OS Command Injection Vulnerability in awkblog

Publication Date: 2024/05/22
(I added a supplement in the English version on May 24th.)

A vulnerability has been identified in version 0.0.1 of the Web application awkblog, implemented with gawk, which allows OS command injection via HTTP requests from external sources, including third parties. Exploiting this vulnerability could enable malicious actors to execute arbitrary OS commands on the computer running awkblog. The details are provided below. If you are using the affected version, please switch to the patched version and run the application.

Affected Product and Version

• Product Name: awkblog (https://github.com/yammerjp/awkblog)
• Affected Version: v0.0.1 (commit hash: 7b761b1 and earlier)

Details of the Vulnerability

This vulnerability allows OS command injection and execution of arbitrary OS commands triggered by specific HTTP requests.

Potential Impact of the Vulnerability

An attacker who can send HTTP requests to the Web application, including third parties, can execute arbitrary commands on the machine hosting the Web application with the application's process execution rights.

Measures and Application of the Fix

Start the Web application using the patched version v0.0.2 (commit hash: 13f6202).

Contact Information

If you have any inquiries or concerns regarding this matter, please contact us at the following email address:

Email: me@yammer.jp

[yammerjp]

本件は JVN#80506242 CVE-2024-36360 が発番されました

---

JVN#80506242 CVE-2024-36360 has been issued for this case.

https://jvn.jp/jp/JVN80506242/