［CyRC脆弱性勧告］NagiosXIで任意のファイル削除とXSSにつながるSQLインジェクション、パストラバーサル脆弱性を発見

概要

Synopsys Cybersecurity Research Center (CyRC) の調査により、NagiosXIの3つの個別の脆弱性が明らかになりました。Nagios XIは、広く使用されているアプリケーション、サービス、およびネットワーク監視アプリケーションであり、ネットワークとサーバーの構成とレポートに特権的にアクセスできます。

発見された脆弱性

• CVE-2021-33177: 一括変更ツールでの認証後のSQLインジェクション脆弱性
• CVE-2021-33178: NagVisレポートモジュールの認証後のパストラバーサル脆弱性
• CVE-2021-33179: コア構成マネージャーに反映されたクロスサイトスクリプティング（XSS）脆弱性

影響のあるソフトウェア

CVE-2021-33177
Nagios XI 5.8.5より前のバージョン

CVE-2021-33178
NagVisプラグインを介した5.8.6より前のNagiosXIバージョン。脆弱性はNagiosXIコード自体にはありませんが、このプラグインはデフォルトでインストールされます。この脆弱性は、2.0.9より前のバージョンのNagVisプラグインに存在し、このコンポーネントは、バージョン2.0.9以降に個別にアップグレードするか、必要がない場合はアンインストールできます。

CVE-2021-33179
Nagios XI 5.8.4より前のバージョン

影響

CVE-2021-33177
adminなどの一括変更ツールにアクセスできる認証済みユーザーは任意のSQLをUPDATEステートメントに挿入できます。 このため、デフォルトの構成では任意のPostgreSQL関数を実行できます。

CVSS 3.1 base score: 5.2 (medium)
CVSS 3.1 vector:  CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C

CVE-2021-33178
adminなどのNagVisManageBackgroundsエンドポイントにアクセスできる認証済みユーザーは、Apacheサーバーの有効なユーザーの権限によって制限されているサーバー上の任意のファイルを削除できます。

CVSS 3.1 base score: 4.5 (medium)
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

CVE-2021-33179
ユーザーがクリックすると、悪意のあるURLが被害者のブラウザで任意のJavaScriptコードを実行し、すべてのNagiosXI ローカル・セッションデータを利用できるようになる可能性があります。

CVSS 3.1 base score: 4.3 (medium)
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

緩和策

CVE-2021-33177
Nagios XI 5.8.5 以降にアップグレードする。
こちらを参照ください：https://www.nagios.com/downloads/nagios-xi/change-log

CVE-2021-33178
NagVisがNagiosプラグインとしてインストールされている場合：NagVisプラグインをバージョン2.0.9以降にアップグレードします。このバージョンのNagVisプラグインは、NagiosXIバージョン5.8.6以降にバンドルされています。
こちらを参照ください：https://www.nagios.com/downloads/nagios-xi/change-log

NagVisがNagVisプロジェクトから直接取得された場合：NagVisをバージョン1.9.29以降にアップグレードします。

こちらを参照ください：http://nagvis.org/downloads/changelog/1.9.29

CVE-2021-33179
Nagios XI 5.8.4以降にアップグレードする。

こちらを参照ください：https://www.nagios.com/downloads/nagios-xi/change-log

発見者

Synopsys Cybersecurity ResearchCenter の研究者であるScott Tolleyは、Seeker®インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）ツールを使用してこれらの脆弱性を発見しました。
Synopsysは、Nagiosチームが脆弱性に対して、速やかかつタイムリーに対処したことを称賛したいと思います。