首頁|必讀|視頻|專訪|運營|制造|監(jiān)管|大數(shù)據(jù)|物聯(lián)網(wǎng)|量子|元宇宙|博客|特約記者
手機|互聯(lián)網(wǎng)|IT|5G|光通信|人工智能|云計算|芯片報告|智慧城市|移動互聯(lián)網(wǎng)|會展
首頁 >> 技術(shù) >> 正文

新思科技網(wǎng)絡(luò)安全研究中心發(fā)現(xiàn)Nagios XI存在漏洞

2021年10月14日 16:56  CCTIME飛象網(wǎng)  

飛象網(wǎng)訊 開源組件的使用已經(jīng)很普遍,由于開源組件存在漏洞而導(dǎo)致的安全事件也屢見不鮮。管理在應(yīng)用和容器中使用開源和第三方代碼所帶來的安全、質(zhì)量和許可證合規(guī)性風(fēng)險至關(guān)重要,尤其像Nagios這類廣泛應(yīng)用的開源免費網(wǎng)絡(luò)監(jiān)視工具,如果存在漏洞,一旦遭受攻擊,受影響的用戶數(shù)量會很龐大。

Nagios XI是一款常用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件,日前其被披露存在多個漏洞,包括SQL 注入、路徑遍歷以及跨站腳本漏洞,在通用漏洞披露庫中編號分別為CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。

概述

新思科技網(wǎng)絡(luò)安全研究中心(CyRC)研究人員發(fā)現(xiàn)了Nagios XI存在三個漏洞。Nagios XI是一款廣泛使用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件,擁有訪問網(wǎng)絡(luò)以及服務(wù)器配置和報告的特權(quán)。

漏洞:

CVE-2021-33177 – 批量修改工具中的身份驗證后 SQL 注入。

CVE-2021-33178 – NagVis 報告模塊中的身份驗證后路徑遍歷漏洞。

CVE-2021-33179 –  核心配置管理器上的反射型跨站點腳本 (XSS)。

受影響的軟件

CVE-2021-33177

Nagios XI 5.8.5 之前的版本。

CVE-2021-33178

Nagios XI 5.8.6 之前的版本(使用NagVis 插件)。該漏洞并不存在于 Nagios XI 代碼本身,但該插件是默認安裝的。該漏洞存在于NagVis 插件 2.0.9 之前的版本中,該組件可以獨立升級到 2.0.9 或更高版本,或者在不需要時卸載。

CVE-2021-33179

Nagios XI 5.8.4 之前的版本。

漏洞影響

CVE-2021-33177

有權(quán)訪問批量修改工具的經(jīng)過身份驗證的用戶(例如 admin)可以將任意 SQL 注入 UPDATE 語句。在默認配置中,這允許執(zhí)行任意 PostgreSQL 函數(shù)。

CVSS 3.1 評分: 5.2 (中等)

CVSS 3.1 vector:  CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C

CVE-2021-33178

有權(quán)訪問 NagVis ManageBackgrounds 端點的經(jīng)過身份驗證的用戶(例如 admin)可以刪除服務(wù)器上受 Apache 服務(wù)器有效用戶權(quán)限限制的任意文件。

CVSS 3.1 評分: 4.5(中等)

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

CVE-2021-33179

當(dāng)用戶點擊惡意 URL 時,它可以在受攻擊者的瀏覽器中執(zhí)行任意 JavaScript 代碼,所有 Nagios XI 本地會話數(shù)據(jù)都可用。

CVSS 3.1 評分: 4.3(中等)

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

修復(fù)建議

CVE-2021-33177

升級到Nagios XI 5.8.5或更高版本。

請參考: https://www.nagios.com/downloads/nagios-xi/change-log

CVE-2021-33178

NagVis插件升級到2.0.9或更高版本。此版本的 NagVis 插件綁定在 Nagios XI 5.8.6 或更高版本中。

請參考: https://www.nagios.com/downloads/nagios-xi/change-log

CVE-2021-33179

升級到Nagios XI 5.8.4 或更高版本。 

請參考:https://www.nagios.com/downloads/nagios-xi/change-log

漏洞發(fā)現(xiàn)者

新思科技網(wǎng)絡(luò)安全研究中心(CyRC)研究人員Scott Tolley利用Seeker®交互式應(yīng)用安全測試(IAST)工具發(fā)現(xiàn)以上漏洞。

新思科技對Nagios 團隊的積極響應(yīng)和及時解決這些漏洞的能力表示認可。

時間線

CVE-2021-33177

2021年5月12日:首次披露該漏洞

2021年6月4日:Nagios安全團隊驗證并確認漏洞

2021年7月15日:Nagios XI  5.8.5 發(fā)布,修復(fù)了 CVE-2021-33177漏洞

2021年10月13日:新思科技發(fā)布漏洞報告

CVE-2021-33178

2021年5月12日:首次披露該漏洞

2021年6月4日:Nagios安全團隊驗證并確認漏洞

2021年9月2日:NagVis 插件 2.0.9 發(fā)布,修復(fù)了 CVE-2021-33178漏洞

2021年10月13日:新思科技發(fā)布漏洞報告

CVE-2021-33179

2021年5月12日:首次披露該漏洞

2021年6月4日:Nagios安全團隊驗證并確認漏洞

2021年6月10日:Nagios XI 5.8.4 發(fā)布,修復(fù)了 CVE-2021-33179漏洞

2021年10月13日:新思科技發(fā)布漏洞報告

原文鏈接:https://www.synopsys.com/blogs/software-security/cyrc-advisory-nagios-xi/

編 輯:章芳
聲明:刊載本文目的在于傳播更多行業(yè)信息,本站只提供參考并不構(gòu)成任何投資及應(yīng)用建議。如網(wǎng)站內(nèi)容涉及作品版權(quán)和其它問題,請在30日內(nèi)與本網(wǎng)聯(lián)系,我們將在第一時間刪除內(nèi)容。本站聯(lián)系電話為86-010-87765777,郵件后綴為#cctime.com,冒充本站員工以任何其他聯(lián)系方式,進行的“內(nèi)容核實”、“商務(wù)聯(lián)系”等行為,均不能代表本站。本站擁有對此聲明的最終解釋權(quán)。
相關(guān)新聞              
 
人物
工信部張云明:大部分國家新劃分了中頻段6G頻譜資源
精彩專題
專題丨“汛”速出動 共筑信息保障堤壩
2023MWC上海世界移動通信大會
中國5G商用四周年
2023年中國國際信息通信展覽會
CCTIME推薦
關(guān)于我們 | 廣告報價 | 聯(lián)系我們 | 隱私聲明 | 本站地圖
CCTIME飛象網(wǎng) CopyRight © 2007-2024 By CCTIME.COM
京ICP備08004280號-1  電信與信息服務(wù)業(yè)務(wù)經(jīng)營許可證080234號 京公網(wǎng)安備110105000771號
公司名稱: 北京飛象互動文化傳媒有限公司
未經(jīng)書面許可,禁止轉(zhuǎn)載、摘編、復(fù)制、鏡像