Nagios XI のスケジュール機能における OS コマンドインジェクションの脆弱性（Scan Tech Report）

◆概要

2019 年 12 月に、ネットワーク監視ソフトウェアである Nagios XI に、遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。攻撃者が管理者用 Web コンソールへのアクセスに成功した場合、悪意のある OS コマンドの実行によってホストに侵入されてしまいます。ソフトウェアのアップデートにより対策してください。

◆分析者コメント

脆弱性は管理者用 Web コンソール内に存在するため、当該脆弱性を悪用するには管理者用 Web コンソールへの認証に成功している必要があります。ソフトウェアの性質を考慮すると、インターネット上に公開されている可能性が低いソフトウェアであると考えられますが、意図せず外部に公開されていた場合や、攻撃者が内部ネットワークへの侵入に成功した場合は、当該脆弱性を悪用して侵入されてしまう可能性があります。ソフトウェアのアップデートによる対策と合わせて、アクセス制御を見直してください。

◆深刻度(CVSS)

[CVSS v3]
8.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-20197&vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア

Nagios XI のバージョン 5.6.10 未満

◆解説

Nagios XI に、スケジュール機能のコードに存在する入力値検証不備に起因する、遠隔から任意の OS コマンドを実行させることが可能となる脆弱性が公開されています。