Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート(NTTデータ・セキュリティ) | ScanNetSecurity
2021.05.08(土)

Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート(NTTデータ・セキュリティ)

 NTTデータ・セキュリティ株式会社は7月6日、「Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート」を公開した。Nagiosは、ブラウザからホストの稼働状態を監視可能にするプログラム。Nagios 3.1.1より前のバージョンには、statuswml.cgiファイルに

製品・サービス・業界動向 業界動向
 NTTデータ・セキュリティ株式会社は7月6日、「Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート」を公開した。Nagiosは、ブラウザからホストの稼働状態を監視可能にするプログラム。Nagios 3.1.1より前のバージョンには、statuswml.cgiファイルにコマンドインジェクションを受ける脆弱性が確認されており、この脆弱性によってリモートからWebサービスの実行権限で任意のコマンドが実行可能になるという。

 同社では今回、この脆弱性の再現性について検証を行った。検証ターゲットシステムにはNagios 3.0.6を使用し、これに対して細工したHTTPリクエストを送信することで任意のコマンドを実行できるか検証した。この結果、ターゲットシステムから「/etc/passwd」ファイルを読み出すことに成功した。これによりユーザの一覧を取得し、さらなる制御の奪取も可能となる。また、ソースコードも閲覧できるため、なりすましに悪用される可能性もある。この脆弱性を解消するには、最新バージョン(3.1.2)へのアップデートが推奨されている。

http://www.nttdata-sec.co.jp/article/vulner/pdf/report20090707.pdf
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×