CVE-2025-26056

著者: Rohan Deshpande

OSコマンドインジェクション

概要

OSコマンドインジェクションは、脆弱なアプリケーションを介して攻撃者がホストオペレーティングシステム上で任意のコマンドを実行できるようにするセキュリティ脆弱性です。これにより、不正アクセス、データ漏洩、システム侵害が発生する可能性があります。

影響

OSコマンドインジェクションの影響には、システムリソースへの不正アクセス、データの盗難、システム侵害、影響を受けたサーバーの完全な制御が含まれ、深刻なセキュリティ侵害と運用の中断を引き起こす可能性があります。

影響を受けるURL

http://:/generateMTRReport

推奨事項

OSコマンドインジェクションの脆弱性を軽減するには、すべてのユーザー入力を検証およびサニタイズし、パラメーター化されたコマンドやAPIを使用し、アプリケーションの実行コンテキストを制限するために最小権限の原則を実装してください。また、潜在的な弱点を特定して修正するために、定期的なセキュリティテストとコードレビューが不可欠です。

概念実証

1. コンソールにログインし、トラブルシューティング → MTR に移動します。
2. IPを入力し、Burpでリクエストをキャプチャします。
3. パラメータmtrIPを通じて‘<!--#exec%20cmd="/bin/cat%20/etc/passwd"-->’ファイルを取得し、HTTPレスポンスにファイルが表示されることを確認します。