广告

新思科技网络安全研究中心发现Nagios XI存在三个漏洞

2021-10-14 新思科技 阅读:
新思科技网络安全研究中心(CyRC)研究人员发现了Nagios XI存在三个漏洞。Nagios XI是一款广泛使用的应用程序、服务和网络监控软件,拥有访问网络以及服务器配置和报告的特权。

Nagios是应用广泛的一种免费开源的IT 监控软件,能够监控几乎所有类型的组件,例如应用程序、网络协议、Web服务器、操作系统、系统指标、网站,中间件等。一旦被恶意利用,不法分子可以攻击基础设施。新思科技网络安全研究中心发现Nagios XI存在三个漏洞,包括SQL 注入、跨站脚本漏洞以及路径遍历导致任意文件删除。OFRednc

Nagios XI是一款常用的应用程序、服务和网络监控软件,日前被披露存在多漏洞,包括SQL 注入、路径遍历以及跨站脚本漏洞,在通用漏洞披露库中编号分别为CVE-2021-33177 CVE-2021-33178 CVE-2021-33179 OFRednc

概述

新思科技网络安全研究中心(CyRC)研究人员发现了Nagios XI存在三个漏洞。Nagios XI是一款广泛使用的应用程序、服务和网络监控软件,拥有访问网络以及服务器配置和报告的特权。OFRednc

OFRednc

漏洞:

CVE-2021-33177 – 批量修改工具中的身份验证后 SQL 注入。OFRednc

CVE-2021-33178 – NagVis 报告模块中的身份验证后路径遍历漏洞。OFRednc

CVE-2021-33179 –  核心配置管理器上的反射型跨站点脚本 (XSS)。OFRednc

受影响的软件

CVE-2021-33177OFRednc

Nagios XI 5.8.5 之前的版本。OFRednc

CVE-2021-33178OFRednc

Nagios XI 5.8.6 之前的版本(使用NagVis 插件)。该漏洞并不存在于 Nagios XI 代码本身,但该插件是默认安装的。该漏洞存在于NagVis 插件 2.0.9 之前的版本中,该组件可以独立升级到 2.0.9 或更高版本,或者在不需要时卸载。OFRednc

CVE-2021-33179OFRednc

Nagios XI 5.8.4 之前的版本。OFRednc

漏洞影响

CVE-2021-33177OFRednc

有权访问批量修改工具的经过身份验证的用户(例如 admin)可以将任意 SQL 注入 UPDATE 语句。在默认配置中,这允许执行任意 PostgreSQL 函数。OFRednc

CVSS 3.1 评分: 5.2 (中等)OFRednc

CVSS 3.1 vector:  CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:COFRednc

CVE-2021-33178OFRednc

有权访问 NagVis ManageBackgrounds 端点的经过身份验证的用户(例如 admin)可以删除服务器上受 Apache 服务器有效用户权限限制的任意文件。OFRednc

CVSS 3.1 评分: 4.5(中等)OFRednc

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:COFRednc

CVE-2021-33179OFRednc

当用户点击恶意 URL 时,它可以在受攻击者的浏览器中执行任意 JavaScript 代码,所有 Nagios XI 本地会话数据都可用。OFRednc

CVSS 3.1 评分: 4.3(中等)OFRednc

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:COFRednc

修复建议

CVE-2021-33177OFRednc

升级到Nagios XI 5.8.5或更高版本。OFRednc

请参考: https://www.nagios.com/downloads/nagios-xi/change-logOFRednc

CVE-2021-33178OFRednc

NagVis插件升级到2.0.9或更高版本。此版本的 NagVis 插件绑定在 Nagios XI 5.8.6 或更高版本中。OFRednc

请参考: https://www.nagios.com/downloads/nagios-xi/change-logOFRednc

CVE-2021-33179OFRednc

升级到Nagios XI 5.8.4 或更高版本。 OFRednc

请参考:https://www.nagios.com/downloads/nagios-xi/change-logOFRednc

漏洞发现者

新思科技网络安全研究中心(CyRC)研究人员Scott Tolley利用Seeker®交互式应用安全测试(IAST)工具发现以上漏洞。OFRednc

新思科技对Nagios 团队的积极响应和及时解决这些漏洞的能力表示认可。OFRednc

时间线

CVE-2021-33177OFRednc

2021年5月12日:首次披露该漏洞OFRednc

2021年6月4日:Nagios安全团队验证并确认漏洞OFRednc

2021年7月15日:Nagios XI  5.8.5 发布,修复了 CVE-2021-33177漏洞OFRednc

2021年10月13日:新思科技发布漏洞报告OFRednc

CVE-2021-33178OFRednc

2021年5月12日:首次披露该漏洞OFRednc

2021年6月4日:Nagios安全团队验证并确认漏洞OFRednc

2021年9月2日:NagVis 插件 2.0.9 发布,修复了 CVE-2021-33178漏洞OFRednc

2021年10月13日:新思科技发布漏洞报告OFRednc

CVE-2021-33179OFRednc

2021年5月12日:首次披露该漏洞OFRednc

2021年6月4日:Nagios安全团队验证并确认漏洞OFRednc

2021年6月10日:Nagios XI 5.8.4 发布,修复了 CVE-2021-33179漏洞OFRednc

2021年10月13日:新思科技发布漏洞报告OFRednc

原文链接https://www.synopsys.com/blogs/software-security/cyrc-advisory-nagios-xi/OFRednc

本文为EDN电子技术设计 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
广告
热门推荐
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了