Nagios XI のスケジュール機能における OS コマンドインジェクションの脆弱性(Scan Tech Report) | ScanNetSecurity
2020.03.31(火)

Nagios XI のスケジュール機能における OS コマンドインジェクションの脆弱性(Scan Tech Report)

Nagios XI に、スケジュール機能のコードに存在する入力値検証不備に起因する、遠隔から任意の OS コマンドを実行させることが可能となる脆弱性が公開されています。

脆弱性と脅威 エクスプロイト
Nagios XI
Nagios XI 全 1 枚 拡大写真
◆概要

2019 年 12 月に、ネットワーク監視ソフトウェアである Nagios XI に、遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。攻撃者が管理者用 Web コンソールへのアクセスに成功した場合、悪意のある OS コマンドの実行によってホストに侵入されてしまいます。ソフトウェアのアップデートにより対策してください。

◆分析者コメント

脆弱性は管理者用 Web コンソール内に存在するため、当該脆弱性を悪用するには管理者用 Web コンソールへの認証に成功している必要があります。ソフトウェアの性質を考慮すると、インターネット上に公開されている可能性が低いソフトウェアであると考えられますが、意図せず外部に公開されていた場合や、攻撃者が内部ネットワークへの侵入に成功した場合は、当該脆弱性を悪用して侵入されてしまう可能性があります。ソフトウェアのアップデートによる対策と合わせて、アクセス制御を見直してください。

◆深刻度(CVSS)

[CVSS v3]
8.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-20197&vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア

Nagios XI のバージョン 5.6.10 未満

◆解説

Nagios XI に、スケジュール機能のコードに存在する入力値検証不備に起因する、遠隔から任意の OS コマンドを実行させることが可能となる脆弱性が公開されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 従業員が顧客の取引履歴をツイート、社内規定に則り処分予定(晴れる屋)

    従業員が顧客の取引履歴をツイート、社内規定に則り処分予定(晴れる屋)

  2. 脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

    脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

  3. 成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

    成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

  4. 機械学習アルゴリズムに脆弱性(JVN)

    機械学習アルゴリズムに脆弱性(JVN)

  5. ? ランサムウェアの犯人「新型コロナ危機の間は医療機関を標的にしないことを俺たちは誓う」(The Register)

    ? ランサムウェアの犯人「新型コロナ危機の間は医療機関を標的にしないことを俺たちは誓う」(The Register)

  6. 「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

    「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

  7. 新型コロナ対策で増加するリモートワークで重要な6つの要素(クラウドストライク)

    新型コロナ対策で増加するリモートワークで重要な6つの要素(クラウドストライク)

  8. CISO に求める役割ベスト3とこれから求める役割(IPA)

    CISO に求める役割ベスト3とこれから求める役割(IPA)

  9. GitHubの設定ミスが原因、取引先情報が外部から閲覧可能に(道新サービスセンター)

    GitHubの設定ミスが原因、取引先情報が外部から閲覧可能に(道新サービスセンター)

  10. プリンセス・クルーズのメールに不正アクセス、顧客情報流出可能性(カーニバル・ジャパン)

    プリンセス・クルーズのメールに不正アクセス、顧客情報流出可能性(カーニバル・ジャパン)

ランキングをもっと見る