Control Web Panel の未認証コマンド実行（悪用確認済み）

Critical（CVSS 9.0）に分類されるCWP Control Web Panel (CentOS Web Panel)の脆弱性です。CWP（Control Web Panel、旧 CentOS Web Panel）の filemanager の changePerm リクエストで、t_total パラメータにシェルのメタ文字を渡せるため、未認証の遠隔攻撃者が任意コマンドを実行できる。ただし成立には有効な非 root のユーザー名を知っている必要があり、これが CVSS のベクタで AC:H（攻撃条件が複雑）とされている理由である。影響は 0.9.8.1205 より前の全バージョンで、修正は 0.9.8.1205。発見者 Fenrisk の記事によれば、攻撃は利用者向けインターフェース（既定 2083/tcp）への POST /myuser/index.php?module=filemanager&acc=changePerm で成立し、0.9.8.1204 と 0.9.8.1188 の CentOS 7 環境で検証されている。得られる権限は該当ユーザー（記事の例では uid 1001）で、そこから足場を広げられる。パッチは 2025年6月18日に 0.9.8.1205 として提供された。CVSS は CNA の MITRE による 9.0 Critical（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CWE は CWE-78。CISA KEV には 2025-11-04 に収載され、是正期限は 2025-11-25、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は CWP の版が 0.9.8.1205 以上かどうかだけである。管理インターフェース（既定 2087 または 2031）の表示で版を確認し、更新機能で最新へ上げる。ここで注意したいのは、CWP を入れたホストは「とりあえず立てたまま放置」されやすく、しかも同一ホストに Apache や NGINX、MySQL、Postfix、Dovecot、Roundcube、DNS といった主要サービスが全部載っているため、1回のコマンド実行が環境全体の掌握につながる点である。すぐ更新できない場合の緩和は、攻撃面がそのまま Web ポートなので、インターネットから見えている管理系・利用者系のポート（既定で 2031 / 2083 / 2087、同梱の webmail は 2096）を閉じ、運用元の IP からのみ許可することになる。攻撃には有効なユーザー名が必要という前提はあるが、ユーザー名は各種の応答や公開情報から容易に割れるため、これを防御と考えないほうがよい。完了条件は、（1）すべての CWP インスタンスが 0.9.8.1205 以上であること、（2）管理系ポートがインターネットに晒されていないこと、（3）KEV 収載＝実際に悪用されているので事後確認が済んでいることの3点である。事後確認では、cwpsrv のアクセスログに module=filemanager と acc=changePerm を含むリクエストが残っていないか、各ユーザーの home 配下に見覚えの無いファイルが無いか、.bashrc などの起動時に読まれるファイルが書き換えられていないか、crontab や authorized_keys に追加が無いかを見る。1件でも出たらホストごと作り直し、そこに置いていたサイトのファイルとデータベースの資格情報、メールアカウントのパスワードをすべて再発行するのが安全である。あわせて、CWP が同梱する Roundcube も別途 CVE の対象になっているので、同じホスト上で版を確認しておく。是正期限 2025-11-25 は既に過ぎているため、未対応なら期限超過として扱う。

CWP Control Web Panel (CentOS Web Panel) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-48703）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。