1.概要Nagios に同梱される history.cgi にバッファオーバーフローを引き起こしてしまう脆弱性が報告されました。Nagios にアクセス可能な悪意あるユーザに利用された場合、システム上で不正な操作が実行される可能性があります。脆弱性を悪用された場合の影響度が高いため、影響を受けるバージョンの Nagios を利用するユーザは可能な限り以下の対策を実施することを推奨します。2.深刻度(CVSS)7.5http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2012-6096&vector=%28AV%3AN/AC%3AL/Au%3AN/C%3AP/I%3AP/A%3AP%293.影響を受けるソフトウェア ※Nagios 3.4.3 以前※ Icinga も、この脆弱性の影響を受けることが報告されています。また、影響を受けるバージョンの Nagios パッケージが含まれる、Linux ディストリビューションにおいても、この脆弱性の影響を受ける可能性があります4.解説Nagios は、ホストやそのホストで動作するサービスの稼働状態を各種プラグインによって監視するオープンソースのソフトウェアです。プラグインの 1 つである history.cgi は、監視対象ホストの障害の履歴情報を提供します。この Nagios の history.cgi には、get_history() 関数 (history.c) における host_name 変数 (host パラメータ) および svc_description 変数 (service パラメータ) の取り扱いに不備があります。このため、当該パラメータに大量の文字列が指定された不正な HTTP リクエストを処理した場合に、スタックオーバーフローが発生する脆弱性が存在します。この脆弱性を利用することで Nagios にアクセス可能な攻撃者は、Nagios を実行するユーザの権限で任意のコマンド実行が可能となります。5.対策以下の Web サイトより Nagios 3.4.4 以降を入手しアップデートすることで、この脆弱性を解消することが可能です。Nagios 3.4.4:http://www.nagios.org/download/core/thanks?t=13587490346.ソースコード（Web非公開）（執筆：株式会社ラック サイバー脅威分析センター）※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。Scan Tech Reporthttp://scan.netsecurity.ne.jp/archives/51916302.html
Microsoft Internet Explorer の CButton オブジェクトの取り扱いに起因する 0-Day エクスプロイト（Scan Tech Report）2013.1.9 Wed 8:00
