Osmedeus Web Serverに保存型XSSの脆弱性が存在し、github.com/j3ssie/osmedeusにおいてRCEにつながる可能性があります

このXSS脆弱性は、攻撃者が悪意のあるスクリプトをWebサイトに注入することを可能にします。被害者は、そのスクリプトを実行することで、Cookieの窃取、セッションハイジャック、さらにはサーバー上のコード実行といった深刻な被害を受ける可能性があります。攻撃者は、この脆弱性を利用して、ユーザーの認証情報を盗み出し、機密データにアクセスしたり、Webサイトの機能を改ざんしたりすることが考えられます。この脆弱性は、特に管理者権限を持つユーザーが標的にされる可能性があり、システム全体への影響が広がる可能性があります。

Organizations and individuals using the Osmedeus Web Server in production environments, particularly those who have not implemented robust input validation and output encoding practices, are at significant risk. Those relying on Osmedeus for critical web applications or handling sensitive user data should prioritize patching.

• go / server:

find / -name 'osmedeus' -type d -print0 | xargs -0 grep -i 'github.com/j3ssie/osmedeus'

• generic web:

curl -I https://your-osmedeus-server/ | grep -i 'X-Powered-By: Osmedeus'

1. 2024-11-06Disclosure

   disclosure

1. 予約済み2024-10-31
2. 公開日2024-11-06
3. 更新日2026-03-03
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、osmedeus Web Serverをバージョン4.6.5にアップデートすることです。アップデートがすぐに利用できない場合、入力値の検証とエスケープを厳格に行うことで、XSS攻撃のリスクを軽減できます。また、Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃のパターンを検知・防御することも有効です。さらに、OSMEDEUSのログを監視し、不審なアクティビティを早期に発見することも重要です。アップデート後、Webサーバーの動作を注意深く確認し、問題がないことを確認してください。