Webmin および Usermin の親プロセスと子プロセス間の通信において、任意のユーザでログイン済みであるかのようなセッション ID を偽造できる脆弱性が発見された。ログインしていないユーザがこれらのソフトウェアを利用することが可能となる。これらのソフトウェアでは、Web を経由したアクセス管理のために使用するセッションID の作成や確認、およびパスワードタイムアウトの設定などの処理の際に、親プロセスと子プロセス間でパイプを使用した通信を行っている。このとき、認証情報として渡されるデータ中に含まれる制御文字の排除が行われていない。これを利用することで、任意のセッション ID とユーザの組み合わせがログイン済みであると Webmin および Usermin に認識させられる。これを利用して Webmin の機能を利用することができた場合、root 権限で任意のコマンドを実行することができる可能性がある。Webmin 1.050 - 1.060 remote exploithttp://msgs.securepoint.com/bugtraq/Webmin/Usermin Session ID Spoofing Vulnerabilityhttp://www.lac.co.jp/security/intelligence/SNSAdvisory/53.html 告知：SCAN シリーズ まるとく・セキュリティ商品 4大キャンペーン！3月末まで！http://shop.vagabond.co.jp/campaign/『Scan Security Management』 創刊！http://shop.vagabond.co.jp/m-ssm01.shtml
