Pandora FMS 7.0 NG のトラフィック管理機能の設定画面における OS コマンドインジェクションの脆弱性（Scan Tech Report）

◆概要

2019 年 12 月に、ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG に遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。攻撃者が管理者用 Web コンソールへのアクセスに成功した場合、悪意のある OS コマンドの実行によってホストに侵入されてしまいます。ソフトウェアのアップデートにより対策してください。

◆分析者コメント

脆弱性は管理者用 Web コンソール内に存在するため、当該脆弱性を悪用するには管理者用 Web コンソールへの認証に成功している必要があります。ソフトウェアの性質を考慮すると、インターネット上に公開されている可能性が低いソフトウェアであると考えられますが、意図せず外部に公開されていた場合や、攻撃者が内部ネットワークへの侵入に成功した場合は、当該脆弱性を悪用して侵入されてしまう可能性があります。ソフトウェアのアップデートによる対策と合わせて、アクセス制御を見直してください。

◆深刻度(CVSS)
[CVSS v3]
8.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-20224&vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア

Pandora FMS 7.0 NG が当該脆弱性の影響を受けると報告されていますが、詳細なバージョン情報の公開を本記事執筆時点（2020 年 1 月 27 日）で確認していません。検証の結果、Pandora FMS 7.0NG のバージョン 740 と 741 で脆弱性の悪用に成功し、742 では脆弱性が悪用できないことを確認しました。また、バージョン 741 と 742 のソースコードの差分から、バージョン 742 でば脆弱性の修正を確認しています。Pandora FMS 7.0 NG のバージョン 742 よりも古いバージョンが当該脆弱性の影響を受けると考えられます。

◆解説

ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG の、トラフィック管理機能の設定画面に、OS コマンドインジェクションの脆弱性が報告されています。