Nagios XIのログインXSS(CSS)セキュリティ問題について

本件のセキュリティ問題についてNagiosXIの環境に影響があります。Nagios 2009R1.3以上には影響されておりません。

問題の説明↓

Nagios XIログイン管理インターフェースにXSS問題が発見されました。
本件のセキュリティ問題をマルウェア関係者が使われたらNagiosシステムにリモートから認証なしでログインが出来る状況となります。具体的にlogin.phpでのjavascriptインジェックションセキュリティ制限曖昧問題が発見しました。

追加セキュリティ問題登録情報は下記となります↓

Vuln ID: NGENUITY-2010-007
Class: Cross-Site Scripting (XSS)
CVE: N/A
Remote: Yes
Local: No
Published: 20 Aug 2010 00:07:08 -0700
Updated: 25 Aug 2010 19:44:01 JST
Credit: adam_baldwin () ngenuity-is com
Vulnerable: Nagios 2009R1.2以下

再現仕方↓

下記は再現の為にURIですが、下記のURLをNagiosログインページ(login.php)に投げたら影響があるバーションならログインされる状況となります
http://example.com/nagiosxi/login.php?%22;alert%281%29;//

解決方法↓

Nagios XIバーション2009R1.3以上にアップグレードが必要（メーカよりのおすすめアドバイスです）

リファレンス↓

http://ngenuity-is.com/advisories/2010/aug/19/nagios-xi-login-xss/
http://seclists.org/fulldisclosure/2010/Aug/221

---
http://0day.jp
ゼロデイリサーチチーム
アドリアン・ヘンドリック