在 nagios3 (一種用於主機、服務和網路的監視和管理系統) 中修正數個問題。CVE-2018-18245 usd AG 的 Maximilian Boehner 在 Nagios Core 中發現跨網站指令碼 (XSS) 弱點。此弱點可讓攻擊者透過操縱外掛程式輸出將惡意 JavaScript 程式碼放入 web 前端。為了做到這一點，攻擊者需要能夠操縱 nagios 檢查傳回的輸出，例如透過取代其中一個受監視端點上的外掛程式。經驗證的使用者必須建立一個警示摘要報告，其中包含相應的輸出才能執行裝載。CVE-2016-9566 據發現，可存取 nagios 群組中的帳戶的本機使用者可以透過對偵錯記錄檔發動符號連結攻擊來獲得 root 權限。CVE-2014-1878 修正一個問題，該問題可讓遠端攻擊者透過提供 cmd.cgi 長訊息導致堆疊型緩衝區溢位，並隨後導致拒絕服務 (分割錯誤)。CVE-2013-7205 | CVE-2013-7108 修正 Nagios 中的一個缺陷，該缺陷可被惡意利用來導致拒絕服務。此弱點是由於 process_cgivars() 函式內的差一錯誤引起，可透過向 Nagios web UI 傳送特製的機碼值來惡意利用該弱點導致超出邊界讀取。針對 Debian 8「Jessie」，這些問題已在 3.5.1.dfsg-2+deb8u1 版本中修正。我們建議您升級 nagios3 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1615-1：nagios3 安全性更新

high Nessus Plugin ID 119875

版本 1.7