Nagios网络监控应用程序中的13个漏洞可能已被黑客滥用-低调大师

Nagios网络监控应用程序中的13个漏洞可能已被黑客滥用

2021-05-28 477

近日，网络安全研究人员披露了有关Nagios网络监控应用程序中13个漏洞的详细信息，这些漏洞会形成一个完整的攻击链，会被攻击者滥用而劫持基础架构，而无需任何操作交互。

这些漏洞是由经过身份验证的远程代码执行(RCE)和权限提升漏洞组成，已被发现并在2020年10月报告给了Nagios，随后在11月得到修复。

Nagios是一款开源的免费网络监视工具，能有效监控Windows、Linux和Unix的主机状态，交换机路由器等网络设备，打印机等。在系统或服务状态异常时发出邮件或短信报警第一时间通知网站运维人员，在状态恢复后发出正常的邮件或短信通知。

有关Nagios网络监控应用程序中13个漏洞的详细信息如下：

CVE-2020-28648 -Nagios XI对远程代码执行进行了身份验证，CVSS评分为8.8，该漏洞最严重涉及Nagios XI的“自动发现”组件中的不当输入验证，研究人员将其用作跳闸点来触发将一个字符串串连在一起的漏洞利用链;

CVE-2020-28900-通过upgrade_to_latest.sh将Nagios Fusion和XI权限从Nagios升级到根;

CVE-2020-28901-通过在cmd_subsys.php中component_dir参数上的命令注入将Nagios Fusion权限从apache升级到nagios;

CVE-2020-28902-通过在cmd_subsys.php中的时区参数上进行命令注入将Nagios Fusion权限从apache升级到nagios;

CVE-2020-28903 -Nagios XI中的XSS，攻击者可以控制融合服务器;

CVE-2020-28904-通过安装恶意组件将Nagios Fusion权限从apache升级到nagios;

CVE-2020-28905 -Nagios Fusion验证了远程代码执行;

CVE-2020-28906-通过修改fusion-sys.cfg / xi-sys.cfg，将Nagios Fusion和XI权限从nagios升级到根;

CVE-2020-28907 -Nagios Fusion权限通过upgrade_to_latest.sh从apache升级到root并修改了代理配置;

CVE-2020-28908-在cmd_subsys.php中通过命令注入将Nagios Fusion权限从apache升级到nagios;

CVE-2020-28909-通过修改可以作为sudo执行的脚本，将Nagios Fusion权限从nagios升级到根;

CVE-2020-28910 -Nagios XI getprofile.sh权限升级;

CVE-2020-28911 -Nagios Fusion信息泄露：权限较低的用户可以在存储凭据时向融合服务器进行身份验证;

作为一个完整的攻击链，如果攻击者破坏了使用Nagios XI服务器进行监视的客户站点，就可能损害一家公司的管理服务器以及所有其他正在监视的客户。

比如一家电信公司正在监视数千个站点，如果一个客户站点受到完全破坏，则攻击者可以利用这些漏洞来破坏整个电信公司，然后再利用其他每个受监视的客户站点来进行攻击。Nagios是类似于SolarWinds网络性能监视器(NPM)的开源IT基础结构工具，可为服务器、网卡、应用程序和服务提供监视和警报服务。

在完整的攻击链中通过使用CVE-2020-28648和CVE-2020-28910在客户站点定位Nagios XI服务器来获得RCE并将权限提升为“root”，该攻击情形就可以通过将Nagios XI服务器定位于客户站点来实现。在服务器受到有效攻击的情况下，攻击者可以将受污染的数据发送到上游Nagios Fusion服务器，该服务器用于通过定期轮询Nagios XI服务器来提供集中式基础架构范围的可见性。

Skylight网络研究员Samir Ghanem说：“通过在我们的控制下污染XI服务器返回的数据，我们可以触发跨站点脚本(CVE-2020-28903)并在Fusion用户的上下文中执行JavaScript代码。”

攻击的下一阶段利用此功能在Fusion服务器上运行任意JavaScript代码以获得RCE(CVE-2020-28905)，随后提升权限(CVE-2020-28902)来控制Fusion Server，并最终夺取控制权，进入位于其他客户站点的XI服务器。

研究人员还发布了一个名为SoyGun的基于PHP的后期开发工具，该工具将漏洞链接在一起，并“允许攻击者使用Nagios XI用户的凭据以及对Nagios XI服务器的HTTP访问权限来完全控制Nagios Fusion部署。”

去年，由于SolarWinds成为主要供应链攻击的受害者，针对像Nagios这样的网络监控平台，攻击者可以策划对企业网络的攻击，横向扩展其对整个网络的访问，并成为更复杂攻击的切入点。

本文翻译自：https://thehackernews.com/2021/05/details-disclosed-on-critical-flaws.html如若转载，请注明原文地址。

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202105/664267.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

加拿大邮政供应商泄漏95万条包裹收件人数据

昨日，加拿大国家邮政服务宣布，加拿大邮政的第三方供应商Commport Communications遭遇网络攻击导致数据泄露，影响了95万个包裹收件人。在昨天发布的新闻稿中，加拿大邮政表示：已通知44个大型企业客户，他们可能受到针对电子数据交换(EDI)服务提供商Commport Communications的“恶意软件攻击”的影响。该供应商于5月19日通知加拿大邮政，其系统中保存的与某些加拿大邮政客户相关联的清单数据已遭到破坏。加拿大邮政透露，泄漏的数据属于2016年7月至2019年3月之间近三年时间的信息，其中97%是包裹收件人的姓名和邮政地址，其余3%包括电子邮件地址和电话号码。加拿大邮政补充说，正在进行的调查发现，没有证据表明任何财务信息遭到了泄漏。加拿大邮政是加拿大最大的邮政运营商，使用Commport Communications的EDI服务来管理运输清单数据，其中包括运输标签所需的发件人和收件人联系信息。加拿大邮政还引用了Commport Communications在2020年11月向其IT子公司Innovapost通报的“潜在勒索软件问题”。但是，已与Co...

2021-05-28

470

漏洞概述研究人员发现苹果M1芯片设计存在安全漏洞，攻击者利用该漏洞使两个应用在不使用内存、socket、文件和其他常见操作系统特征的情况下交换数据。该漏洞CVE编号为CVE-2021-30747，目前没有安全修复方案，除非有新版本的芯片设计否则无法修复。 ARM system register编码为s3_5_c15_c10_1，可以从El0访问，其中含有2个可以读写的比特位。该寄存器可以被集群内的所有核同时访问。也就是说，任意进程都可以用这个2比特的隐蔽信道来与其他合作进程交换数据。恶意进程可以利用时钟和数据协议构造一个2比特的鲁棒的信道。2个进程可以根据CPU的开销交换任意数量的数据。CPU核心关联API可用来确保两个进程在同一CPU核心集群上。 PoC证明了该方法可以实现高速率、鲁棒的数据传输，目前实现的数据传输速率超过1MB/s，PoC参见： https://gist.github.com/marcan/99e788db33af66c92ab1811da78ab62f PoC demo视频参见：https://www.youtube.com/watch?v=sKEj8z4H7...

2021-05-28

458

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。