Pandora FMS 7.0 NG のトラフィック管理機能の設定画面における OS コマンドインジェクションの脆弱性(Scan Tech Report) | ScanNetSecurity
2020.02.26(水)

Pandora FMS 7.0 NG のトラフィック管理機能の設定画面における OS コマンドインジェクションの脆弱性(Scan Tech Report)

2019 年 12 月に、ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG に遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。

脆弱性と脅威 エクスプロイト
◆概要

2019 年 12 月に、ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG に遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。攻撃者が管理者用 Web コンソールへのアクセスに成功した場合、悪意のある OS コマンドの実行によってホストに侵入されてしまいます。ソフトウェアのアップデートにより対策してください。

◆分析者コメント

脆弱性は管理者用 Web コンソール内に存在するため、当該脆弱性を悪用するには管理者用 Web コンソールへの認証に成功している必要があります。ソフトウェアの性質を考慮すると、インターネット上に公開されている可能性が低いソフトウェアであると考えられますが、意図せず外部に公開されていた場合や、攻撃者が内部ネットワークへの侵入に成功した場合は、当該脆弱性を悪用して侵入されてしまう可能性があります。ソフトウェアのアップデートによる対策と合わせて、アクセス制御を見直してください。

◆深刻度(CVSS)
[CVSS v3]
8.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-20224&vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア

Pandora FMS 7.0 NG が当該脆弱性の影響を受けると報告されていますが、詳細なバージョン情報の公開を本記事執筆時点(2020 年 1 月 27 日)で確認していません。検証の結果、Pandora FMS 7.0NG のバージョン 740 と 741 で脆弱性の悪用に成功し、742 では脆弱性が悪用できないことを確認しました。また、バージョン 741 と 742 のソースコードの差分から、バージョン 742 でば脆弱性の修正を確認しています。Pandora FMS 7.0 NG のバージョン 742 よりも古いバージョンが当該脆弱性の影響を受けると考えられます。

◆解説

ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG の、トラフィック管理機能の設定画面に、OS コマンドインジェクションの脆弱性が報告されています。
《株式会社ラック サイバー・グリッド研究所》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×