NVD Vulnerability Detail
Search Exploit, PoC
CVE-2015-7244
Summary

The default configuration of the server in MobaXterm before 8.3 has a disabled Access Control setting and consequently does not require authentication for X11 connections, which allows remote attackers to execute arbitrary commands or obtain sensitive information via X11 packets.

Publication Date Nov. 4, 2015, 12:59 p.m.
Registration Date Jan. 26, 2021, 2:56 p.m.
Last Update Nov. 21, 2024, 11:36 a.m.
CVSS2.0 : HIGH
Score 7.5
Vector AV:N/AC:L/Au:N/C:P/I:P/A:P
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) 低
可用性への影響(A) 低
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:mobatek:mobaxterm:*:*:*:*:*:*:*:* 8.2
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
MobaXterm にコマンドインジェクションの脆弱性
Title MobaXterm にコマンドインジェクションの脆弱性
Summary

MobaXterm 8.3 より前のバージョンには、X11 サーバをデフォルト設定で使用している場合に ポート 6000/TCP からコマンドインジェクション攻撃を受ける可能性があります。 重要な機能に対する認証の欠如の問題 (CWE-306) - CVE-2015-7244 MobaXterm の X11 サーバ機能は全てのインターフェースで待ち受け状態になっており、さらに認証なしにポート 6000/TCP への X11 接続が可能です。遠隔の攻撃者はユーザに気づかれることなく当該製品に接続し、当該製品を実行しているユーザの権限で X11 のコマンドを実行するなどの操作を行うことができます。 CWE-306: Missing Authentication for Critical Function http://cwe.mitre.org/data/definitions/306.html なお、National Vulnerability Database (NVD) では、CWE-284 として公開されています。 CWE-284: Improper Access Control http://cwe.mitre.org/data/definitions/284.html

Possible impacts 遠隔の攻撃者によって、当該製品を実行しているユーザの権限で任意の X11 のコマンドを実行される可能性があります。
Solution

[アップデートする] Mobatek は本脆弱性の対策として、外部からの接続をユーザに通知し、接続を許可するか拒否するかを選択できる機能を追加した MobaXterm 8.3 をリリースしています。 開発者が提供する情報をもとに、最新版へアップデートしてください。 MobaXterm 8.3 http://mobaxterm.mobatek.net/download-home-edition.html
Publication Date Nov. 2, 2015, midnight
Registration Date Nov. 5, 2015, 10:01 a.m.
Last Update Nov. 5, 2015, 10:01 a.m.
Affected System
Mobatek
MobaXterm 8.3 より前のバージョン
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2015年11月05日]
  掲載		 Feb. 17, 2018, 10:37 a.m.