Nagios が、組み合わされるとリモートルートコード実行の脆弱性につながる2つのセキュリティ問題に対して脆弱であることがわかりました。幸いなことに、Debian パッケージの強化された許可は、情報漏洩への影響を制限しますが、ローカルでの root への権限昇格は依然として可能です。CVE-2016-9565 : RSS フィード入力の不適切なサニタイズにより、認証されていない任意のファイルのリモート読み取りおよび書き込みが可能になり、Web ルートが書き込み可能な場合に、リモートでのコードの実行につながる可能性があります。CVE-2016-9566 : 安全でないログファイルの処理により、権限のないユーザーが権限をルートに昇格させる可能性があります。wheezy では、これはデフォルトで無効になっているデバッグログファイルを介してのみ可能です。Debian 7 'Wheezy' では、これらの問題はバージョン 3.4.1-3+deb7u3 で修正されています。nagios3 パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-751-1 : nagios3 セキュリティ更新

critical Nessus プラグイン ID 96012

バージョン 3.7