新思科技網(wǎng)絡(luò)安全研究中心發(fā)現(xiàn)Nagios XI存在三個(gè)漏洞

時(shí)間：2021-10-14 17:18:16

關(guān)鍵字：網(wǎng)絡(luò)安全 IT 監(jiān)控軟件

手機(jī)看文章

掃描二維碼
隨時(shí)隨地手機(jī)看文章

[導(dǎo)讀]Nagios是應(yīng)用廣泛的一種免費(fèi)開(kāi)源的IT 監(jiān)控軟件，能夠監(jiān)控幾乎所有類(lèi)型的組件，例如應(yīng)用程序、網(wǎng)絡(luò)協(xié)議、Web服務(wù)器、操作系統(tǒng)、系統(tǒng)指標(biāo)、網(wǎng)站，中間件等。一旦被惡意利用，不法分子可以攻擊基礎(chǔ)設(shè)施。新思科技網(wǎng)絡(luò)安全研究中心發(fā)現(xiàn)Nagios XI存在三個(gè)漏洞，包括SQL 注入、跨站腳本漏洞以及路徑遍歷導(dǎo)致任意文件刪除。

Nagios是應(yīng)用廣泛的一種免費(fèi)開(kāi)源的IT 監(jiān)控軟件，能夠監(jiān)控幾乎所有類(lèi)型的組件，例如應(yīng)用程序、網(wǎng)絡(luò)協(xié)議、Web服務(wù)器、操作系統(tǒng)、系統(tǒng)指標(biāo)、網(wǎng)站，中間件等。一旦被惡意利用，不法分子可以攻擊基礎(chǔ)設(shè)施。新思科技網(wǎng)絡(luò)安全研究中心發(fā)現(xiàn)Nagios XI存在三個(gè)漏洞，包括SQL 注入、跨站腳本漏洞以及路徑遍歷導(dǎo)致任意文件刪除。

Nagios XI是一款常用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件，日前其被披露存在多個(gè)漏洞，包括SQL 注入、路徑遍歷以及跨站腳本漏洞，在通用漏洞披露庫(kù)中編號(hào)分別為CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。

概述

新思科技網(wǎng)絡(luò)安全研究中心(CyRC)研究人員發(fā)現(xiàn)了Nagios XI存在三個(gè)漏洞。Nagios XI是一款廣泛使用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件，擁有訪問(wèn)網(wǎng)絡(luò)以及服務(wù)器配置和報(bào)告的特權(quán)。

漏洞：

CVE-2021-33177 – 批量修改工具中的身份驗(yàn)證后 SQL 注入。

CVE-2021-33178 – NagVis 報(bào)告模塊中的身份驗(yàn)證后路徑遍歷漏洞。

CVE-2021-33179 – 核心配置管理器上的反射型跨站點(diǎn)腳本 (XSS)。

受影響的軟件

CVE-2021-33177

Nagios XI 5.8.5 之前的版本。

CVE-2021-33178

Nagios XI 5.8.6 之前的版本（使用NagVis 插件）。該漏洞并不存在于 Nagios XI 代碼本身，但該插件是默認(rèn)安裝的。該漏洞存在于NagVis 插件 2.0.9 之前的版本中，該組件可以獨(dú)立升級(jí)到 2.0.9 或更高版本，或者在不需要時(shí)卸載。

CVE-2021-33179

Nagios XI 5.8.4 之前的版本。

漏洞影響

CVE-2021-33177

有權(quán)訪問(wèn)批量修改工具的經(jīng)過(guò)身份驗(yàn)證的用戶（例如 admin）可以將任意 SQL 注入 UPDATE 語(yǔ)句。在默認(rèn)配置中，這允許執(zhí)行任意 PostgreSQL 函數(shù)。

CVSS 3.1 評(píng)分： 5.2 （中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C

CVE-2021-33178

有權(quán)訪問(wèn) NagVis ManageBackgrounds 端點(diǎn)的經(jīng)過(guò)身份驗(yàn)證的用戶（例如 admin）可以刪除服務(wù)器上受 Apache 服務(wù)器有效用戶權(quán)限限制的任意文件。

CVSS 3.1 評(píng)分： 4.5（中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

CVE-2021-33179