XWEB EVOに root 権限で任意のコマンドを実行される脆弱性
Summary
XWEB EVOの5.6.2より前のバージョンに、権限昇格につながるコマンドインジェクションの脆弱性が見つかりました。.lua形式のCGIを通じて細工された入力を送られると、root権限で任意のコマンドを実行されるおそれがあります。影響を受ける製品は5.6.2で修正されているため、5.6.2以降へ更新してください。この製品はサポート終了日を2026年3月に迎えているため、更新が難しい場合は、外部から接続できないよう通信経路を制限することも検討してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
XWEB EVOの5.6.2より前のバージョンに、権限昇格につながるコマンドインジェクションの脆弱性が見つかりました。.lua形式のCGIを通じて細工された入力を送られると、root権限で任意のコマンドを実行されるおそれがあります。影響を受ける製品は5.6.2で修正されているため、5.6.2以降へ更新してください。この製品はサポート終了日を2026年3月に迎えているため、更新が難しい場合は、外部から接続できないよう通信経路を制限することも検討してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CopelandXWEB EVO |
< 5.6.2→ 5.6.2 |
5.6.2 |
Original description The description as published by the source.
XWEB EVO before 5.6.2 contains a command injection vulnerability where the setuid-root Lua CGI interpreter wlua executes system("/usr/bin/lua "+argv) on unsanitized input. Attackers can craft malicious input reached through a .lua CGI endpoint to inject arbitrary commands into the concatenated argv string, achieving command execution with root privileges. This product line reached it's end of service date in March 2026.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com