新思科技網絡安全研究中心發(fā)現Nagios XI存在三個漏洞

Nagios是應用廣泛的一種免費開源的IT 監(jiān)控軟件，能夠監(jiān)控幾乎所有類型的組件，例如應用程序、網絡協議、Web服務器、操作系統、系統指標、網站，中間件等。一旦被惡意利用，不法分子可以攻擊基礎設施。新思科技網絡安全研究中心發(fā)現Nagios XI存在三個漏洞，包括SQL 注入、跨站腳本漏洞以及路徑遍歷導致任意文件刪除。

Nagios XI是一款常用的應用程序、服務和網絡監(jiān)控軟件，日前其被披露存在多個漏洞，包括SQL 注入、路徑遍歷以及跨站腳本漏洞，在通用漏洞披露庫中編號分別為CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。

概述
新思科技網絡安全研究中心(CyRC)研究人員發(fā)現了Nagios XI存在三個漏洞。Nagios XI是一款廣泛使用的應用程序、服務和網絡監(jiān)控軟件，擁有訪問網絡以及服務器配置和報告的特權。

漏洞：
CVE-2021-33177 – 批量修改工具中的身份驗證后 SQL 注入。

CVE-2021-33178 – NagVis 報告模塊中的身份驗證后路徑遍歷漏洞。

CVE-2021-33179 –  核心配置管理器上的反射型跨站點腳本 (XSS)。

受影響的軟件
CVE-2021-33177
Nagios XI 5.8.5 之前的版本。

CVE-2021-33178
Nagios XI 5.8.6 之前的版本（使用NagVis 插件）。該漏洞并不存在于 Nagios XI 代碼本身，但該插件是默認安裝的。該漏洞存在于NagVis 插件 2.0.9 之前的版本中，該組件可以獨立升級到 2.0.9 或更高版本，或者在不需要時卸載。

CVE-2021-33179
Nagios XI 5.8.4 之前的版本。

漏洞影響
CVE-2021-33177
有權訪問批量修改工具的經過身份驗證的用戶（例如 admin）可以將任意 SQL 注入 UPDATE 語句。在默認配置中，這允許執(zhí)行任意 PostgreSQL 函數。

CVSS 3.1 評分： 5.2 （中等）

CVSS 3.1 vector:  CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C

CVE-2021-33178
有權訪問 NagVis ManageBackgrounds 端點的經過身份驗證的用戶（例如 admin）可以刪除服務器上受 Apache 服務器有效用戶權限限制的任意文件。

CVSS 3.1 評分： 4.5（中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

CVE-2021-33179
當用戶點擊惡意 URL 時，它可以在受攻擊者的瀏覽器中執(zhí)行任意 JavaScript 代碼，所有 Nagios XI 本地會話數據都可用。

CVSS 3.1 評分： 4.3（中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

修復建議
CVE-2021-33177
升級到Nagios XI 5.8.5或更高版本。

請參考： https://www.nagios.com/downloads/nagios-xi/change-log

CVE-2021-33178
NagVis插件升級到2.0.9或更高版本。此版本的 NagVis 插件綁定在 Nagios XI 5.8.6 或更高版本中。

請參考： https://www.nagios.com/downloads/nagios-xi/change-log

CVE-2021-33179
升級到Nagios XI 5.8.4 或更高版本。 

請參考：https://www.nagios.com/downloads/nagios-xi/change-log

漏洞發(fā)現者
新思科技網絡安全研究中心(CyRC)研究人員Scott Tolley利用Seeker®交互式應用安全測試(IAST)工具發(fā)現以上漏洞。

新思科技對Nagios 團隊的積極響應和及時解決這些漏洞的能力表示認可。

時間線
CVE-2021-33177
2021年5月12日：首次披露該漏洞

2021年6月4日：Nagios安全團隊驗證并確認漏洞

2021年7月15日：Nagios XI  5.8.5 發(fā)布，修復了 CVE-2021-33177漏洞

2021年10月13日：新思科技發(fā)布漏洞報告

CVE-2021-33178
2021年5月12日：首次披露該漏洞

2021年6月4日：Nagios安全團隊驗證并確認漏洞

2021年9月2日：NagVis 插件 2.0.9 發(fā)布，修復了 CVE-2021-33178漏洞

2021年10月13日：新思科技發(fā)布漏洞報告

CVE-2021-33179
2021年5月12日：首次披露該漏洞

2021年6月4日：Nagios安全團隊驗證并確認漏洞

2021年6月10日：Nagios XI 5.8.4 發(fā)布，修復了 CVE-2021-33179漏洞

2021年10月13日：新思科技發(fā)布漏洞報告