CVE-2024-36057 — Koha Library Software < 22.05.22 — OSコマンドインジェクション

CVE ID: CVE-2024-36057
製品: Koha Library Software
脆弱性タイプ: OSコマンドインジェクション (CWE-78)
CVSSスコア: 8.7 (高) 認証済み
影響を受けるバージョン: 22.05.22未満
クレジット: Karolis Narvilas

---

説明

Kohaはオープンソースの統合図書館システムです。tools/upload-cover-image.plの表紙画像アップロード機能にコマンドインジェクションの脆弱性が存在します。このアプリケーションは、アップロードされたZIPアーカイブを展開する際に、ファイル名パラメータをサニタイズせずにqx/unzip $filename -d $dirname/を使用しています。

認証済みの高権限ユーザーは、バッククォート文字を含む悪意のあるファイル名を持つZIPファイルを作成し、任意のシェルコマンドを注入できます。このコマンドは、ユーザーが「Process Images」をクリックした際にサーバー側で実行されます。

影響: リモートの認証済み攻撃者は、CVE-2024-36057を悪用して基盤となるサーバー上で任意のOSコマンドを実行でき、システム全体の侵害、データの外部流出、永続的なバックドアやリバースシェルの確立につながる可能性があります。

---

概念実証 (PoC)

1. 高権限ユーザーとしてKohaにログインします。
2. https://{domain}/cgi-bin/koha/tools/upload-cover-image.plに移動します。
3. 通常のZIPファイルをアップロードし、Burp Suiteなどのインターセプトプロキシを使用して、以下のようにファイル名を編集します。