Debian DLA-1615-1:nagios3 安全性更新

high Nessus Plugin ID 119875

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 nagios3 (一種用於主機、服務和網路的監視和管理系統) 中修正數個問題。CVE-2018-18245 usd AG 的 Maximilian Boehner 在 Nagios Core 中發現跨網站指令碼 (XSS) 弱點。此弱點可讓攻擊者透過操縱外掛程式輸出將惡意 JavaScript 程式碼放入 web 前端。為了做到這一點,攻擊者需要能夠操縱 nagios 檢查傳回的輸出,例如透過取代其中一個受監視端點上的外掛程式。經驗證的使用者必須建立一個警示摘要報告,其中包含相應的輸出才能執行裝載。CVE-2016-9566 據發現,可存取 nagios 群組中的帳戶的本機使用者可以透過對偵錯記錄檔發動符號連結攻擊來獲得 root 權限。CVE-2014-1878 修正一個問題,該問題可讓遠端攻擊者透過提供 cmd.cgi 長訊息導致堆疊型緩衝區溢位,並隨後導致拒絕服務 (分割錯誤)。CVE-2013-7205 | CVE-2013-7108 修正 Nagios 中的一個缺陷,該缺陷可被惡意利用來導致拒絕服務。此弱點是由於 process_cgivars() 函式內的差一錯誤引起,可透過向 Nagios web UI 傳送特製的機碼值來惡意利用該弱點導致超出邊界讀取。針對 Debian 8「Jessie」,這些問題已在 3.5.1.dfsg-2+deb8u1 版本中修正。我們建議您升級 nagios3 套件。注意:Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

升級受影響的套件。

另請參閱

https://lists.debian.org/debian-lts-announce/2018/12/msg00014.html

https://packages.debian.org/source/jessie/nagios3

Plugin 詳細資訊

嚴重性: High

ID: 119875

檔案名稱: debian_DLA-1615.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2018/12/27

已更新: 2021/1/11

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: High

基本分數: 7.2

時間分數: 5.6

媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

風險因素: High

基本分數: 7.8

時間分數: 7

媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:nagios3, p-cpe:/a:debian:debian_linux:nagios3-cgi, p-cpe:/a:debian:debian_linux:nagios3-common, p-cpe:/a:debian:debian_linux:nagios3-core, p-cpe:/a:debian:debian_linux:nagios3-dbg, p-cpe:/a:debian:debian_linux:nagios3-doc, cpe:/o:debian:debian_linux:8.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2018/12/24

弱點發布日期: 2014/1/15

參考資訊

CVE: CVE-2013-7108, CVE-2013-7205, CVE-2014-1878, CVE-2016-9566, CVE-2018-18245

BID: 64363, 64489, 65605