以前のMonitorixバージョンは、クロスサイトスクリプティング（XSS）に対して脆弱です。これは、monitorix.cgiファイルによるユーザー指定の入力の不適切な検証が原因です。リモート攻撃者は、この脆弱性を悪用し、特別に細工したURLで提供された引数の一部（graph=またはwhen=）を使用して、URLがクリックされると、ホスティングWebサイトのセキュリティコンテキスト内の被害者のWebブラウザーでスクリプトを実行する可能性があります。攻撃者は、この脆弱性を利用して、被害者のCookieベースの認証情報を盗む可能性があります。

この問題を報告してくれたTestArmyのSebastian Gilon氏に感謝の意を表します。

修正されたその他のバグは、通常通り、変更ファイルに反映されています。

古いバージョンを使用し続けているすべてのユーザーは、このバージョンへアップグレードし、このセキュリティ問題を解決することが推奨および奨励されています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Fedora 27：monitorix（2018-1724b6a0dc）

high Nessus プラグイン ID 108613

変更ログが見つかりません