水曜日, 8月 25, 2010

Nagios XIのログインXSS(CSS)セキュリティ問題について

本件のセキュリティ問題についてNagiosXIの環境に影響があります。Nagios 2009R1.3以上には影響されておりません。

問題の説明↓
Nagios XIログイン管理インターフェースにXSS問題が発見されました。
本件のセキュリティ問題をマルウェア関係者が使われたらNagiosシステムにリモートから認証なしでログインが出来る状況となります。具体的にlogin.phpでのjavascriptインジェックションセキュリティ制限曖昧問題が発見しました。

追加セキュリティ問題登録情報は下記となります↓
Vuln ID: NGENUITY-2010-007
Class: Cross-Site Scripting (XSS)
CVE: N/A
Remote: Yes
Local: No
Published: 20 Aug 2010 00:07:08 -0700
Updated: 25 Aug 2010 19:44:01 JST
Credit: adam_baldwin () ngenuity-is com
Vulnerable: Nagios 2009R1.2以下

再現仕方↓
下記は再現の為にURIですが、下記のURLをNagiosログインページ(login.php)に投げたら影響があるバーションならログインされる状況となります
http://example.com/nagiosxi/login.php?%22;alert%281%29;//

解決方法↓
Nagios XIバーション2009R1.3以上にアップグレードが必要(メーカよりのおすすめアドバイスです)

リファレンス↓

---
http://0day.jp
ゼロデイリサーチチーム
アドリアン・ヘンドリック

0 件のコメント:

コメントを投稿