Incorporate many fixes from Justin Paulsen <petaris@gmail.com> THANKS!!!

----

Updates to nagios-4.4.2 which is a major update. Fixes CVE's CVE-2018-13441 CVE-2016-8641

----

Remove section which unset nagios Fix BZ#1568273

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Justin Paulsen氏からの多数の修正を組み込みます <petaris@gmail.com> ありがとう！

----

主要な更新であるnagios-4.4.2に更新します。CVEのCVE-2018-13441 CVE-2016-8641を修正します

----

nagios修正BZ#1568273の設定を解除するセクションを削除します 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

主机、服务和网络的监控和管理系统 nagios3 中修正了多个问题。CVE-2018-18245 usd AG 的 Maximilian Boehner 发现，Nagios Core 中存在跨站脚本 (XSS) 漏洞。此漏洞可让攻击者通过操纵插件输出，将恶意 JavaScript 代码植入 web 前端。为了利用此漏洞，攻击者需要有能力操纵 nagios 检查返回的输出，例如通过替换某个受监控端点上的插件。而执行有效负载则要求经过身份验证的用户创建包含有相应输出的提醒摘要报告。CVE-2016-9566 据发现，拥有 nagios 群组中帐户访问权限的本地用户可能会通过针对调试日志文件的符号链接攻击，从而获取 root 特权。CVE-2014-1878 允许远程攻击者通过发送到 cmd.cgi 的长消息造成基于堆栈的缓冲区溢出，进而造成拒绝服务（段错误）的问题已修正。CVE-2013-7205 | CVE-2013-7108 Nagios 中可能会受到利用造成拒绝服务的缺陷已修正。此漏洞由 process_cgivars() 函数中的差一错误引入，通过向 Nagios web UI 发送特别构建的键值可以利用此漏洞造成越界读取。对于 Debian 8“Jessie”，这些问题已在 3.5.1.dfsg-2+deb8u1 版本中修复。我们建议您升级 nagios3 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 nagios3 (一種用於主機、服務和網路的監視和管理系統) 中修正數個問題。CVE-2018-18245 usd AG 的 Maximilian Boehner 在 Nagios Core 中發現跨網站指令碼 (XSS) 弱點。此弱點可讓攻擊者透過操縱外掛程式輸出將惡意 JavaScript 程式碼放入 web 前端。為了做到這一點，攻擊者需要能夠操縱 nagios 檢查傳回的輸出，例如透過取代其中一個受監視端點上的外掛程式。經驗證的使用者必須建立一個警示摘要報告，其中包含相應的輸出才能執行裝載。CVE-2016-9566 據發現，可存取 nagios 群組中的帳戶的本機使用者可以透過對偵錯記錄檔發動符號連結攻擊來獲得 root 權限。CVE-2014-1878 修正一個問題，該問題可讓遠端攻擊者透過提供 cmd.cgi 長訊息導致堆疊型緩衝區溢位，並隨後導致拒絕服務 (分割錯誤)。CVE-2013-7205 | CVE-2013-7108 修正 Nagios 中的一個缺陷，該缺陷可被惡意利用來導致拒絕服務。此弱點是由於 process_cgivars() 函式內的差一錯誤引起，可透過向 Nagios web UI 傳送特製的機碼值來惡意利用該弱點導致超出邊界讀取。針對 Debian 8「Jessie」，這些問題已在 3.5.1.dfsg-2+deb8u1 版本中修正。我們建議您升級 nagios3 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Incorporate many fixes from Justin Paulsen <petaris@gmail.com> THANKS!!!

----

Updates to nagios-4.4.2 which is a major update. Fixes CVE's CVE-2018-13441 CVE-2016-8641

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Several issues were corrected in nagios3, a monitoring and management system for hosts, services and networks.

CVE-2018-18245

Maximilian Boehner of usd AG found a cross-site scripting (XSS) vulnerability in Nagios Core. This vulnerability allows attackers to place malicious JavaScript code into the web frontend through manipulation of plugin output. In order to do this the attacker needs to be able to manipulate the output returned by nagios checks, e.g. by replacing a plugin on one of the monitored endpoints. Execution of the payload then requires that an authenticated user creates an alert summary report which contains the corresponding output.

CVE-2016-9566

It was discovered that local users with access to an account in the nagios group are able to gain root privileges via a symlink attack on the debug log file.

CVE-2014-1878

An issue was corrected that allowed remote attackers to cause a stack-based buffer overflow and subsequently a denial of service (segmentation fault) via a long message to cmd.cgi.

CVE-2013-7205 | CVE-2013-7108

A flaw was corrected in Nagios that could be exploited to cause a denial of service. This vulnerability is induced due to an off-by-one error within the process_cgivars() function, which can be exploited to cause an out-of-bounds read by sending a specially crafted key value to the Nagios web UI.

For Debian 8 'Jessie', these problems have been fixed in version 3.5.1.dfsg-2+deb8u1.

We recommend that you upgrade your nagios3 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for nagios to version 4.4.5 fixes the following issues :

  - CVE-2019-3698: Symbolic link following vulnerability in     the cronjob allows local attackers to cause cause DoS or     potentially escalate privileges. (boo#1156309)

  - CVE-2018-18245: Fixed XSS vulnerability in Alert Summary     report (boo#1119832)

  - CVE-2018-13441, CVE-2018-13458, CVE-2018-13457: Fixed a     few denial of service vulnerabilities caused by NULL     pointer dereference (boo#1101293, boo#1101289,     boo#1101290).

Justin Paulsen氏からの多数の修正を組み込みます <petaris@gmail.com> ありがとう！

----

主要な更新であるnagios-4.4.2に更新します。CVEのCVE-2018-13441 CVE-2016-8641を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ホスト、サービス、ネットワークの監視および管理システムであるnagios3で、いくつかの問題が修正されました。

CVE-2018-18245

usd AGのMaxmilian Boehner氏は、Nagios Coreにクロスサイトスクリプティング（XSS）の脆弱性を発見しました。この脆弱性により、プラグイン出力の操作を通じて、攻撃者が悪意のあるJavaScriptコードをWebフロントエンドに配置できます。これを行うには、攻撃者は、監視対象のエンドポイントの1つでプラグインを置き換えるなど、nagiosチェックによって返される出力を操作できる必要があります。ペイロードを実行するには、認証されたユーザーが、対応する出力を含むアラートサマリーレポートを作成する必要があります。

CVE-2016-9566

nagiosグループのアカウントにアクセスできるローカルユーザーが、デバッグログファイルへのシンボリックリンク攻撃を介してroot権限を取得できることが判明しました。

CVE-2014-1878

リモートの攻撃者が、cmd.cgiへの長いメッセージを介して、スタックベースのバッファオーバーフローを引き起こし、その後サービス拒否（セグメンテーション違反）を引き起こす可能性のある問題が修正されました。

CVE-2013-7205 | CVE-2013-7108

サービス拒否を引き起こすために悪用される可能性があるNagiosの欠陥が修正されました。この脆弱性は、特別に細工されたキー値をNagios Web UIに送信することで領域外読み取りを引き起こすために悪用される可能性があるprocess_cgivars()関数内のoff-by-oneエラーが原因です。

Debian 8「Jessie」では、これらの問題はバージョン3.5.1.dfsg-2+deb8u1で修正されました。

nagios3パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このnagiosのバージョン4.4.5への更新では、次の問題を修正します：

  - CVE-2019-3698：cronjob内のシンボリックリンクフォローの脆弱性により、ローカル攻撃者がDoSを引き起こしたり、権限を昇格したりする可能性があります。（boo#1156309）

  - CVE-2018-18245：アラートサマリーレポート内のXSSの脆弱性を修正しました（boo#1119832）

  - CVE-2018-13441、CVE-2018-13458、CVE-2018-13457：NULLポインターデリファレンスによって引き起こされるいくつかのサービス拒否を修正しました（boo#1101293、boo#1101289、boo#1101290）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
121442	Fedora 28 : nagios (2019-0b44528ff1)	Nessus	Fedora Local Security Checks	2019/1/30	2024/6/25	high
121442	Fedora 28：nagios（2019-0b44528ff1）	Nessus	Fedora Local Security Checks	2019/1/30	2024/6/25	high
119875	Debian DLA-1615-1：nagios3 安全更新	Nessus	Debian Local Security Checks	2018/12/27	2024/7/12	high
119875	Debian DLA-1615-1：nagios3 安全性更新	Nessus	Debian Local Security Checks	2018/12/27	2024/7/12	high
121443	Fedora 29 : nagios (2019-376ecc221c)	Nessus	Fedora Local Security Checks	2019/1/30	2024/6/25	high
119875	Debian DLA-1615-1 : nagios3 security update	Nessus	Debian Local Security Checks	2018/12/27	2024/7/12	high
135448	openSUSE Security Update : nagios (openSUSE-2020-500)	Nessus	SuSE Local Security Checks	2020/4/14	2024/3/19	high
121443	Fedora 29：nagios（2019-376ecc221c）	Nessus	Fedora Local Security Checks	2019/1/30	2024/6/25	high
119875	Debian DLA-1615-1: nagios3のセキュリティ更新	Nessus	Debian Local Security Checks	2018/12/27	2024/7/12	high
135448	openSUSEセキュリティ更新プログラム：nagios（openSUSE-2020-500）	Nessus	SuSE Local Security Checks	2020/4/14	2024/3/19	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high