The remote Monitorix built-in HTTP server does not properly sanitize HTTP GET request strings, allowing for remote, arbitrary command execution via a specially crafted HTTP request.

3.4.0 - 02-Dec-2013 ====================

  - Added a complete statistical Memcached graph. [#27]

    - Added support for different BIND stats versions (2 and       3 right now). (thanks to Ivo Brhel, ivb AT volny.cz)

  - Added two new alerts in the 'disk' graph in order to     know if a disk drive has exceeded or reached a threshold     for reallocated and pending sectors. (suggested by     Matthew Connelly, maff AT maff.im)

  - Added a new option called 'max_historic_years' (with a     default value of 1), which enables the ability to have     up to 5 years of data. Beware with this option because     it generates a new '.rrd' file every time the value is     extended, losing the current historical data. (suggested     by Mohan Reddy, Mohan.Reddy AT analog.com)

  - Improved the regexp when collecting data from devices's     interrupts which also fixes some annoying messages on     using non-numeric arguments.

  - Added support for the Pure-FTPd logs in the 'serv' and     'ftp' graphs.

    - Added the new configuration option 'https_url'. [#31]

    - Fixed error messages about use of uninitialized values       in 'system' graph on BSD systems.

  - Fixed error messages about not numeric argument in     addition in 'fs' graph on BSD systems.

  - Fixed in 'emailreports' to use the command line     'hostname' if the variable $ENV{HOSTNAME} is not defined     (Debian/Ubuntu and perhaps other systems). (thanks to     Skibbi, skibbi AT gmail.com for pointing this out)

  - Fixed the error message 'String ends after the = sign on     CDEF:allvalues=' in the 'int' graph (the Interrupts     graph is pending to have a complete rewrite).

  - Fixed the 'int' graph in order to be more compatible     with Raspberry Pi.

    - Fixed in 'bind.pm' to store a 0 value if threads are       disabled. [#29]

    - Fixed to correctly sent images in graphs 'proc',       'port' and 'fail2ban' when using emailreports. (thanks       to Benoit Segond von Banchet, bjm.segondvonbanchet AT       telfort.nl for pointing this out)

  - Fixed to show the real hostname in the emailreports.

    - Fixed the 'int' graph in order to be compatible with       Excito B3 product. (thanks to Patrick Fallberg,       patrick AT fallberg.net for pointing this out)

  - Fixed to correctly sanitize the input string in the     built-in HTTP server which led into a number of security     vulnerabilities. [#30]

  - Fixed the lack of minimum definition in some data     sources of 'bind' graph. (thanks to Andreas Itzchak     Rehberg, izzy AT qumran.org for pointing this out)

  - Fixed a fail to adequately sanitize request strings of     malicious JavaScript. [#30] (thanks to Jacob Amey, jamey     AT securityinspection.com for pointing this out)

  - Fixed a typo in monitorix.service. [#32]

    - Fixed the requests value in the 'nginx' graph. Now it       honours the label to show the value per second,       instead of per minute. (thanks to Martin Culak, culak       AT firma.azet.sk for pointing this out)

  - Small fixes and typos.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

3.4.0 - 2013 年 12 月 2 日 ====================

- 完全な統計 Memcached グラフを追加しました。[#27]

- 異なるバージョンの BIND 統計（現時点では 2 および 3）のサポートを追加。（情報提供：Ivo Brhel 氏、ivb AT volny.cz）

- ディスクドライブが、再配置したセクターと保留中セクターに対するしきい値を超えている、または当該のしきい値に到達したかどうかを把握するために、「disk」グラフに 2 つの警告を新たに追加。（提案者：Matthew Connelly 氏、maff AT maff.im）

- 「max_historic_years」という名前の新しいオプション（デフォルト値 1）を追加し、これによって最長で 5 年間のデータを保持できます。値が延長されるたびに「.rrd」ファイルが新たに生成され、現在の履歴データが失われることになるため、このオプションには注意してください。（提案者：Mohan Reddy 氏、Mohan.Reddy AT analog.com）

- デバイスの割り込みからデータを収集する際の regexp を改善し、また、非数値引数を使用する際の一部の不快なメッセージも修正。

- 「serv」グラフおよび「ftp」グラフで、Pure-FTPd ログのサポートを追加。

- 構成オプション「https_url」を新たに追加。[#31]

- BSD システムの「system」グラフで、初期化されていない値の使用に関するエラーメッセージを修正。

- さらに BSD システムでの「fs」グラフにおける非数値引数に関するエラーメッセージを修正。

- $ENV{HOSTNAME} 変数が未定義の場合、「emailreports」で「hostname」コマンドラインを使用するように修正（Debian/Ubuntu およびおそらくその他のシステム）。（情報提供：Skibbi、skibbi AT gmail.com）

- 「int」グラフのエラーメッセージ「String ends after the = sign on CDEF:allvalues=」（CDEF:allvalues= で、文字列は = サインの後で終了）を修正（割り込みグラフは再書き込みが終わるまで待機）。

- Raspberry Pi との互換性を強化するために「int」グラフを修正。

- スレッドが無効な場合、「bind.pm」で「0」値を保存するように修正。[#29]

- emailreports の使用時に、「proc」「port」および「fail2ban」グラフ内の画像が正しく送信されるように修正。（情報提供：Benoit Segond von Banchet 氏、bjm.segondvonbanchet AT telfort.nl）

- メールレポートの本当のホスト名を表示するように修正。

- Excito B3 製品との互換性を強化するために「int」グラフを修正。（情報提供：Patrick Fallberg 氏、patrick AT fallberg.net）

- 多数のセキュリティ脆弱性につながる、内蔵 HTTP サーバーでの入力文字列を正しくサニタイズするように修正。[#30]

- 「bind」グラフの一部のデータソースにおける、最小定義の欠如を修正。（情報提供：Andreas Itzchak Rehberg 氏、izzy AT qumran.org）

- 悪意のある JavaScript のリクエスト文字列を適切にサニタイズできない問題を修正しました。[#30]（情報提供：Jacob Amey 氏、jamey AT securityinspection.com）

- monitorix.service の誤字を修正しました。[#32]

- 「nginx」グラフのリクエスト値を修正。ラベルが分ごとではなく、秒ごとに値を表示するように変更。（情報提供：Martin Culak 氏、culak AT firma.azet.sk）

- 小規模な修正と誤字。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートの Monitorix ビルトイン HTTP サーバーは HTTP GET リクエスト文字列を適切にサニタイズしないため、特別に細工された HTTP リクエストを通じ、リモート任意のコマンド実行を引き起こす可能性があります。

3.4.0 - 2013 年 12 月 2 日 ====================

- 新增完整的統計資料 Memcached 圖。[#27]

- 新增不同 BIND 統計版本 (2 和最新的 3) 的支援。(感謝 Ivo Brhel，ivb@volny.cz)

- 'disk' 圖形中新增兩個新警示，以便瞭解磁碟機是否超過或達到重新配置和擱置磁區的閾值。(建議者為 Matthew Connelly，maff@maff.im)

- 新增選項 'max_historic_years' (預設值為 1)，最多可容納 5 年的資料。請留意此選項，因為每次值延伸時它都會產生新的「.rrd」檔案，並失去目前的歷程記錄資料。(建議者為 Mohan Reddy，Mohan.Reddy@analog.com)

- 改善從裝置的插斷項收集資料時的 regexp，同時還修正了使用非數值引數時出現的一些令人困擾的訊息。

- 新增‘serv’和‘ftp’圖形中 Pure-FTPd 記錄的支援。

- 新增組態選項 'https_url'。[#31]

- 修正在 BSD 系統上的 'system' 圖形中使用未初始化的值之錯誤訊息。

- 修正 BSD 系統上之‘fs’圖形中額外的非數值引數錯誤訊息。

- 修正‘emailreports’，如果變數 $ENV{HOSTNAME} 未定義，則可使用命令行‘hostname’ (Debian/Ubuntu 和其他系統)。(感謝 Skibbi，skibbi@gmail.com 指出此問題)

- 修正 'int' 圖形中的錯誤訊息「字串在 CDEF:allvalues= 的等號後結束」(中斷圖形擱置中，等待完整重寫)。

- 修正‘int’圖形，以與 Raspberry Pi 更加相容。

- 修正‘bind.pm’，如果執行緒已停用則儲存 0 值。[#29]

- 修正為使用 emailreports 時可正確傳送圖形 'proc'、'port' 和 'fail2ban' 中的影像。(感謝 Benoit Segond von Banchet，bjm.segondvonbanchet@telfort.nl 指出此問題)

- 修正為可在 emailreports 中顯示實際主機名稱。

- ‘int’圖形修正為與 Excito B3 產品更加相容。(感謝 Patrick Fallberg，patrick@fallberg.net 指出此問題)

- 修正為可正確清理內建 HTTP 伺服器中會導致多個安全性弱點的輸入字串。[#30]

- 修正 'bind' 圖形的部分資料來源缺少下限定義的問題。(感謝 Andreas Itzchak Rehberg，izzy@qumran.org 指出此問題)

- 修正無法充分清理惡意 JavaScript 要求字串的問題。[#30] (感謝 Jacob Amey，jamey@securityinspection.com 指出此問題)

- 修正 monitorix.service 中的錯字。[#32]

- 修正 'nginx' 圖形中的要求值。現在它會依照標籤顯示每秒值而非每分鐘值。(感謝 Martin Culak，culak@firma.azet.sk 指出此問題)

- 小修正及錯字。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

3.4.0 - 2013 年 12 月 2 日 ====================

- 添加了完整的统计数据 Memcached 图表。[#27]

- 添加了对不同 BIND 统计版本的支持（目前是版本 2 和版本 3）。（感谢 Ivo Brhel、ivb AT volny.cz）

- 在“disk”图表中新增了两个警报，用于了解磁盘驱动器是否已达到或超出重新分配的及挂起的扇区的阈值。（建议者为 Matthew Connelly、maff AT maff.im）

- 添加名为“max_historic_years”的新选项（默认值为 1），数据保留时间长达 5 年。请谨慎使用此选项，因为该选项在值增大时将生成新的“rrd”文件，从而丢失当前的历史数据。（建议者为 Mohan Reddy，Mohan.Reddy AT analog.com）

- 改进了从设备中断收集数据时的 regexp，还修复了使用非数值参数时的某些烦人消息。

- 添加了对“serv”和“ftp”图表中 Pure-FTPd 日志的支持。

- 新增了配置选项“https_url”。[#31]

- 修复了 BSD 系统的“system”图表中关于使用未初始化值的错误消息。

- 修复了 BSD 系统的“fs”图表中附加非数值参数的错误消息。

- 修复了“emailreports”中的错误，可在未定义变量 $ENV{HOSTNAME} 时使用命令行“hostname”（Debian/Ubuntu 以及其他可能的系统）。（感谢 Skibbi (skibbi AT gmail.com) 指出此错误）

- 修复了“int”图表中的错误消息“String ends after the = sign on CDEF:allvalues=”（Interrupts 图表正等待被完整重写）。

- 修复了“int”图表，使其与 Raspberry Pi 更兼容。

- 修复了“bind.pm”中的错误，可在线程禁用时存储 0 值。[#29]

- 修复了相关错误，可在使用“emailreports”时正确发送“proc”、“port”和“fail2ban”图表中的图像。（感谢 Benoit Segond von Banchet (bjm.segondvonbanchet AT telfort.nl) 指出此问题）

- 修复了相关错误，可在电子邮件报告中使用真正的主机名。

- 修复了“int”图表，使其与 Excito B3 产品兼容。（感谢 Patrick Fallberg (patrick AT fallberg.net) 指出此问题）

- 修复了相关错误，可正确审查内置的 HTTP 服务器中的输入字符串，此错误导致大量安全漏洞。[#30]

- 修复了“bind”图表的某些数据源缺少最小值定义。（感谢 Andreas Itzchak Rehberg (zzy AT qumran.org) 指出此问题）

- 修复了一个错误，可充分审查恶意 JavaScript 的请求字符串。[#30]（感谢 Jacob Amey (jamey AT securityinspection.com) 指出此错误）

- 修复了 monitorix.service 中的拼写错误。[#32]

- 修复了“nginx”图表中的请求值。现在图表支持标签按秒显示该值来代替按分钟显示。（感谢 Martin Culak (culak AT firma.azet.sk) 指出此问题）

- 小补丁和拼写错误修复。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

遠端 Monitorix 內建 HTTP 伺服器未正確清理 HTTP GET 要求字串，允許透過特製的 HTTP 要求遠端執行任意命令。

远程 Monitorix 内置 HTTP 服务器未正确审查 HTTP GET 请求字符串，这允许通过特别构建的 HTTP 请求远程执行任意命令。

ID	名稱	產品	系列	已發布	已更新	嚴重性
71212	Monitorix Built-in HTTP Server Remote Command Execution	Nessus	CGI abuses	2013/12/4	2021/1/19	critical
71416	Fedora 20 : monitorix-3.4.0-1.fc20 (2013-22649)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71381	Fedora 19 : monitorix-3.4.0-1.fc19 (2013-22677)	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71381	Fedora 19 : monitorix-3.4.0-1.fc19（2013-22677）	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71416	Fedora 20 : monitorix-3.4.0-1.fc20（2013-22649）	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71212	Monitorix ビルトイン HTTP サーバーリモートコマンドの実行	Nessus	CGI abuses	2013/12/4	2021/1/19	critical
71416	Fedora 20 : monitorix-3.4.0-1.fc20 (2013-22649)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71381	Fedora 19：monitorix-3.4.0-1.fc19 (2013-22677)	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71416	Fedora 20：monitorix-3.4.0-1.fc20 (2013-22649)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71381	Fedora 19 : monitorix-3.4.0-1.fc19 (2013-22677)	Nessus	Fedora Local Security Checks	2013/12/13	2021/1/11	medium
71212	Monitorix 內建 HTTP 伺服器遠端命令執行	Nessus	CGI abuses	2013/12/4	2021/1/19	critical
71212	Monitorix 内置 HTTP 服务器远程命令执行	Nessus	CGI abuses	2013/12/4	2021/1/19	critical

偵測

搜尋 Plugin

critical

medium

medium

medium

medium

critical

medium

medium

medium

medium

critical

critical