Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート（NTTデータ・セキュリティ）

製品・サービス・業界動向業界動向

23 views

2009.7.8 Wed 17:25

　NTTデータ・セキュリティ株式会社は7月6日、「Nagiosのstatuswml.cgiの脆弱性（CVE-2009-2288）に関する検証レポート」を公開した。Nagiosは、ブラウザからホストの稼働状態を監視可能にするプログラム。Nagios 3.1.1より前のバージョンには、statuswml.cgiファイルにコマンドインジェクションを受ける脆弱性が確認されており、この脆弱性によってリモートからWebサービスの実行権限で任意のコマンドが実行可能になるという。

　同社では今回、この脆弱性の再現性について検証を行った。検証ターゲットシステムにはNagios 3.0.6を使用し、これに対して細工したHTTPリクエストを送信することで任意のコマンドを実行できるか検証した。この結果、ターゲットシステムから「/etc/passwd」ファイルを読み出すことに成功した。これによりユーザの一覧を取得し、さらなる制御の奪取も可能となる。また、ソースコードも閲覧できるため、なりすましに悪用される可能性もある。この脆弱性を解消するには、最新バージョン（3.1.2）へのアップデートが推奨されている。

http://www.nttdata-sec.co.jp/article/vulner/pdf/report20090707.pdf