2.0.18 より前の Munin の lib/Munin/Master/HTMLConfig.pm の get_group_tree 関数により、リモートノードが、細工されたマルチグラフデータでサービス拒否 (munin-html プロセスの無限ループとメモリ消費) を引き起こすことが可能です。

Munin：: Master: :2.0.18 より前の Munin の Node により、リモートの攻撃者が、マルチグラフサービス名として「multigraph」を使用するプラグインでサービス拒否 (ノードに対するデータ収集の中止) を引き起こすことが可能です。

更新 munin パッケージは、セキュリティの脆弱性を修正します。

munin の Munin::Master::Node モジュールが、ノードが送信する特定のデータを適切に検証しません。悪意のあるノードがこれを悪用して、munin マスターでのメモリ枯渇により、munin-html プロセスの無限ループを引き起こす可能性があります（CVE-2013-6048）。

悪意のあるノードが、プラグインを有効にし、マルチグラフをマルチグラフサービス名として使用して、プラグインが実行しているノード全体でデータ収集を中止させる可能性があります（CVE-2013-6359）。

2.0.19 への Upstream 更新、CVE-2013-6359 の修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

[ Christoph Biedl 氏 ]

- munin-node：UID 0 が所有する新しいプラグインステートディレクトリルートを導入した、より安全な状態のファイル処理。その後各プラグインは、その UID が所有する独自の UID プラグインステートディレクトリで実行されます。（解決：#684075）、（解決：#679897）、解決 CVE-2012-3512

- プラグイン：Runtime $ENV{MUNIN_PLUGSTATE} を使用します。このため、適切に作成されたプラグインは全て /var/lib/munin-node/plugin-state/$uid/$some_file を使用するようになります - 依然として /var/lib/munin/plugin-state/ を使用しているプラグインがあれば報告してください - これらはセキュリティリスクをもたらす可能性があります!

- マルチグラフプラグイン名を検証、CVE-2013-6048。

- 悪意のあるノードにより、ノードに対するデータ収集が中止しない、munin#1397、CVE-2013-6359 を修正します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Upstream は 2.0.20 をリリースしました

- BZ# 1082162：munin-asyncd は、chkconfig のマイナーなバグ修正リリースに追加されていません：

- BZ# 1081254：ノードの後に asyncd を開始してください

- BZ# 1028075：munin ノードが chkconfig に追加されていません Upstream 2.0.18 への更新します、CVE-2013-6359 を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Christoph Biedl 氏は、Munin が特定の multigraph データを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、Munin にリソースを消費させ、サービス拒否を引き起こす可能性があります。
（CVE-2013-6048）

Christoph Biedl 氏は、Munin が特定の multigraph サービス名を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、Munin にデータ収集を停止させ、サービス拒否を引き起こす可能性があります。
（CVE-2013-6359）。

Christoph Biedl 氏は、ネットワーク全体のグラフ化フレームワークである munin に、2 つのサービス拒否の脆弱性があることを発見しました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2013-6048 munin の Munin::Master::Node モジュールが、ノードが送信する特定のデータを適切に検証しません。悪意のあるノードがこれを悪用して、munin-html プロセスで無限ループを引き起こし、munin マスターでメモリ枯渇を起こす可能性があります。

- CVE-2013-6359 悪意のあるノードが、プラグインを有効にし、「multigraph」をマルチグラフサービス名として使用して、プラグインが実行しているノード全体でデータ収集を中止させる可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78291	Amazon Linux AMI：munin (ALAS-2014-348)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
71605	Mandriva Linux セキュリティアドバイザリ：munin（MDVSA-2013:297）	Nessus	Mandriva Local Security Checks	2013/12/23	2021/1/6	medium
72293	Amazon Linux AMI：munin (ALAS-2014-275)	Nessus	Amazon Linux Local Security Checks	2014/2/5	2018/4/18	medium
71484	Fedora 19：munin-2.0.19-1.fc19（2013-23016）	Nessus	Fedora Local Security Checks	2013/12/17	2021/1/11	medium
82168	Debian DLA-20-1：munin セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	high
73363	Fedora 19：munin-2.0.20-1.fc19（2014-4462）	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
71446	Fedora 20：munin-2.0.19-1.fc20（2013-22968）	Nessus	Fedora Local Security Checks	2013/12/16	2021/1/11	medium
73365	Fedora 20：munin-2.0.20-1.fc20（2014-4542）	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
72164	Ubuntu 12.04 LTS/12.10/13.10：munin の脆弱性（USN-2090-1）	Nessus	Ubuntu Local Security Checks	2014/1/28	2021/1/19	medium
71278	Debian DSA-2815-1：munin - サービス拒否	Nessus	Debian Local Security Checks	2013/12/10	2021/1/11	medium
71483	Fedora 18：munin-2.0.19-1.fc18（2013-22993）	Nessus	Fedora Local Security Checks	2013/12/17	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium