mnaberezによる報告: 

supervisordは、TCPソケットおよび/またはUnixドメインソケットでHTTPサーバーを実行するように構成できます。HTTPサーバーは、supervisorctlとsupervisordの通信手段です。HTTPサーバーが有効になっている場合は、HTMLページとXML-RPCインターフェイスの両方が常に提供されます。認証されたクライアントがサーバー上で任意のシェルコマンドを実行する悪意のあるXML-RPCリクエストをsupervisordに送信できるという脆弱性が発見されました。コマンドは、supervisordと同じユーザーとして実行されます。supervisordの構成方法によっては、rootにすることもできます。

この脆弱性を悪用できるのは、認証されたクライアントによってか、認証なしでHTTPサーバーを実行するようにSupervisordが構成されている場合のみです。認証が有効になっていない場合は、supervisordが起動するたびにメッセージを重大レベルでログに記録します。

検出

FreeBSD：Supervisord -- 認証されたクライアントは、悪意のあるXML-RPCリクエストを介して任意のシェルコマンドを実行できます（c9460380-81e3-11e7-93af-005056925db4）。

high Nessus プラグイン ID 102508

変更ログが見つかりません