Calum Hutton氏は、プロセスの状態を制御するシステムであるSupervisorのXML-RPCサーバーが、リクエストされたXML-RPCメソッドで検証を実行しないため、認証されたクライアントが、任意のシェルコマンドを実行する、悪意のあるXML-RPCリクエストをSupervisordに送信できることを報告しました。これは、supervisordと同じユーザーとしてサーバー上で実行されます。

ネスト化された名前空間検索を完全に無効にすることで、脆弱性は修正されました。Supervisordは、XML-RPCリクエストを処理するために登録されたオブジェクトのメソッドのみを呼び出し、それに破損した既存の設定を含む可能性のある子オブジェクトは呼び出さないようになりました。ネスト化された名前空間を使用する、パブリックで利用可能なプラグインは現在知られていません。単一の名前空間を使用するプラグインは、今後もこれまでと同様に機能します。詳細については、https://github.com/Supervisor/supervisor/issues/964のアップストリームの問題を参照してください。

検出

DebianDSA-3942-1：supervisor - セキュリティ更新

high Nessus プラグイン ID 102449

バージョン 3.8