历史上的今天
今天是：2024年10月14日（星期一）
2021年10月14日 | 新思科技网络安全研究中心发现Nagios XI存在三个漏洞
2021-10-14 来源：EEWORLD
Nagios是应用广泛的一种免费开源的IT 监控软件，能够监控几乎所有类型的组件，例如应用程序、网络协议、Web服务器、操作系统、系统指标、网站，中间件等。一旦被恶意利用，不法分子可以攻击基础设施。新思科技网络安全研究中心发现Nagios XI存在三个漏洞，包括SQL 注入、跨站脚本漏洞以及路径遍历导致任意文件删除。
Nagios XI是一款常用的应用程序、服务和网络监控软件，日前其被披露存在多个漏洞，包括SQL 注入、路径遍历以及跨站脚本漏洞，在通用漏洞披露库中编号分别为CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。
概述
新思科技网络安全研究中心(CyRC)研究人员发现了Nagios XI存在三个漏洞。Nagios XI是一款广泛使用的应用程序、服务和网络监控软件，拥有访问网络以及服务器配置和报告的特权。
漏洞：
CVE-2021-33177 – 批量修改工具中的身份验证后 SQL 注入。
CVE-2021-33178 – NagVis 报告模块中的身份验证后路径遍历漏洞。
CVE-2021-33179 – 核心配置管理器上的反射型跨站点脚本 (XSS)。
受影响的软件
CVE-2021-33177
Nagios XI 5.8.5 之前的版本。
CVE-2021-33178
Nagios XI 5.8.6 之前的版本（使用NagVis 插件）。该漏洞并不存在于 Nagios XI 代码本身，但该插件是默认安装的。该漏洞存在于NagVis 插件 2.0.9 之前的版本中，该组件可以独立升级到 2.0.9 或更高版本，或者在不需要时卸载。
CVE-2021-33179
Nagios XI 5.8.4 之前的版本。
漏洞影响
CVE-2021-33177
有权访问批量修改工具的经过身份验证的用户（例如 admin）可以将任意 SQL 注入 UPDATE 语句。在默认配置中，这允许执行任意 PostgreSQL 函数。
CVSS 3.1 评分： 5.2 （中等）
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C
CVE-2021-33178
有权访问 NagVis ManageBackgrounds 端点的经过身份验证的用户（例如 admin）可以删除服务器上受 Apache 服务器有效用户权限限制的任意文件。
CVSS 3.1 评分： 4.5（中等）
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C
CVE-2021-33179
当用户点击恶意 URL 时，它可以在受攻击者的浏览器中执行任意 JavaScript 代码，所有 Nagios XI 本地会话数据都可用。
CVSS 3.1 评分： 4.3（中等）
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C
修复建议
CVE-2021-33177
升级到Nagios XI 5.8.5或更高版本。
CVE-2021-33178
NagVis插件升级到2.0.9或更高版本。此版本的 NagVis 插件绑定在 Nagios XI 5.8.6 或更高版本中。
CVE-2021-33179
升级到Nagios XI 5.8.4 或更高版本。
漏洞发现者
新思科技网络安全研究中心(CyRC)研究人员Scott Tolley利用Seeker®交互式应用安全测试(IAST)工具发现以上漏洞。
新思科技对Nagios 团队的积极响应和及时解决这些漏洞的能力表示认可。
时间线
CVE-2021-33177
2021年5月12日：首次披露该漏洞
2021年6月4日：Nagios安全团队验证并确认漏洞
2021年7月15日：Nagios XI 5.8.5 发布，修复了 CVE-2021-33177漏洞
2021年10月13日：新思科技发布漏洞报告
CVE-2021-33178
2021年5月12日：首次披露该漏洞
2021年6月4日：Nagios安全团队验证并确认漏洞
2021年9月2日：NagVis 插件 2.0.9 发布，修复了 CVE-2021-33178漏洞
2021年10月13日：新思科技发布漏洞报告
CVE-2021-33179
2021年5月12日：首次披露该漏洞
2021年6月4日：Nagios安全团队验证并确认漏洞
2021年6月10日：Nagios XI 5.8.4 发布，修复了 CVE-2021-33179漏洞
2021年10月13日：新思科技发布漏洞报告
史海拾趣
|
本帖最后由 jameswangsynnex 于 2015-3-3 19:58 编辑 现在，家庭有多台电视是常见的，如果家庭成员在房间、客厅都想收看数字收费电视，该怎么办呢？有了综合布线之后，你就不会有这方面的困扰了，而且也可以轻易实现卫星电视和数字电视的交换 ...… 查看全部问答＞ |
|
最近要把原来写过的IDE接口的硬盘读写程序改成SATA的,用到1F0~1F7和3F6~3F7这些I/O映射地址对硬盘控制芯片的寄存器进行寻址,现在我需要知道用SATA接口时,这些I/O地址应该是什么,只要知道对SATA操作的I/O端口地址就能解决所有问题了,请高手不吝赐教, ...… 查看全部问答＞ |
|
自恢复保险丝JK600系列有三个型号； JK600-110U JK600-150U JK600-160U 详情可上网站http://www.kte99.com查询 … 查看全部问答＞ |
|
本帖最后由 jameswangsynnex 于 2015-3-3 20:03 编辑 北京时间7月13日凌晨消息，展讯通信(SPRD)周五股价大幅上涨13%，主要由于清华紫光宣布将以17.8亿美元的价格收购这家公司。当日，截至美国东部时间13:41(北京时间13日1:41)为止，展讯通信股价在 ...… 查看全部问答＞ |
|
目前helper2416上运行的rtos是国产的开源实时操作系统raw-os, raw-os的学习资料可以参考电子书，高效实时操作系统原理以及实践。具体的可以在raw-os官网:www.raw-os.org 下载，除此之外还有完整配套的视频学习。 helper2416开发板不仅仅能运行raw- ...… 查看全部问答＞ |