ホスト、サービス、ネットワークの監視および管理システムであるnagios3で、いくつかの問題が修正されました。

CVE-2018-18245

usd AGのMaxmilian Boehner氏は、Nagios Coreにクロスサイトスクリプティング（XSS）の脆弱性を発見しました。この脆弱性により、プラグイン出力の操作を通じて、攻撃者が悪意のあるJavaScriptコードをWebフロントエンドに配置できます。これを行うには、攻撃者は、監視対象のエンドポイントの1つでプラグインを置き換えるなど、nagiosチェックによって返される出力を操作できる必要があります。ペイロードを実行するには、認証されたユーザーが、対応する出力を含むアラートサマリーレポートを作成する必要があります。

CVE-2016-9566

nagiosグループのアカウントにアクセスできるローカルユーザーが、デバッグログファイルへのシンボリックリンク攻撃を介してroot権限を取得できることが判明しました。

CVE-2014-1878

リモートの攻撃者が、cmd.cgiへの長いメッセージを介して、スタックベースのバッファオーバーフローを引き起こし、その後サービス拒否（セグメンテーション違反）を引き起こす可能性のある問題が修正されました。

CVE-2013-7205 | CVE-2013-7108

サービス拒否を引き起こすために悪用される可能性があるNagiosの欠陥が修正されました。この脆弱性は、特別に細工されたキー値をNagios Web UIに送信することで領域外読み取りを引き起こすために悪用される可能性があるprocess_cgivars()関数内のoff-by-oneエラーが原因です。

Debian 8「Jessie」では、これらの問題はバージョン3.5.1.dfsg-2+deb8u1で修正されました。

nagios3パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1615-1: nagios3のセキュリティ更新

high Nessus プラグイン ID 119875

バージョン 1.7