コンテンツ

注目検索ワード

Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート（NTTデータ・セキュリティ）

　NTTデータ・セキュリティ株式会社は7月6日、「Nagiosのstatuswml.cgiの脆弱性（CVE-2009-2288）に関する検証レポート」を公開した。Nagiosは、ブラウザからホストの稼働状態を監視可能にするプログラム。Nagios 3.1.1より前のバージョンには、statuswml.cgiファイルに

製品・サービス・業界動向業界動向

2009年7月8日（水） 17時25分

　NTTデータ・セキュリティ株式会社は7月6日、「Nagiosのstatuswml.cgiの脆弱性（CVE-2009-2288）に関する検証レポート」を公開した。Nagiosは、ブラウザからホストの稼働状態を監視可能にするプログラム。Nagios 3.1.1より前のバージョンには、statuswml.cgiファイルにコマンドインジェクションを受ける脆弱性が確認されており、この脆弱性によってリモートからWebサービスの実行権限で任意のコマンドが実行可能になるという。

　同社では今回、この脆弱性の再現性について検証を行った。検証ターゲットシステムにはNagios 3.0.6を使用し、これに対して細工したHTTPリクエストを送信することで任意のコマンドを実行できるか検証した。この結果、ターゲットシステムから「/etc/passwd」ファイルを読み出すことに成功した。これによりユーザの一覧を取得し、さらなる制御の奪取も可能となる。また、ソースコードも閲覧できるため、なりすましに悪用される可能性もある。この脆弱性を解消するには、最新バージョン（3.1.2）へのアップデートが推奨されている。

http://www.nttdata-sec.co.jp/article/vulner/pdf/report20090707.pdf

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。（写真：ScanNetSecurity 名誉編集長りく）

×