Nagios XI 网络监控软件中存在多个严重漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Nagios XI 网络监控软件中存在多个漏洞，可导致提权和信息泄露。

这四个漏洞的编号从CVE-2023-40931到CVE-2023-40934，影响 Nagios XI 5.11.1及以下版本。研究员在2023年8月4日报送这些漏洞，厂商在9月11日已在版本5.11.2中修复。

Outpost24 公司的研究员 Astrid Tedenbrant 表示，“其中三个漏洞（CVE-2023-40931、CVE-2023-40933和CVE-2023-40934）可导致用户以各种权限级别，通过SQL注入访问数据库字段。通过这些漏洞获得的数据可能用于在产品中进一步提权并获得敏感的用户数据如密码哈希和API令牌。”

CVE-2023-40932与Custom Logo 组件中的XSS 缺陷有关，可用于读取敏感数据如从登录页面获取明文密码。

这些漏洞简述如下：

• CVE-2023-40931：Banner 确认端点中的SQL注入

• CVE-2023-40932：Custom Logo组件中的XSS

• CVE-2023-40933：Announcement Banner 设置中的SQL 注入

• CVE-2023-40934：Core配置管理器 (CCM) 中Host/Service 提权中的SQL注入

这三个SQL注入漏洞如遭成功利用，可导致认证攻击者执行任意SQL命令，而XSS漏洞可用于注入任意JavaScript 以及读取和修改页面数据。这并非Nagios XI 中首次出现安全问题。2021年，Skylight Cyber 和 Claroty 公司发现12个漏洞，可用于劫持基础设施并实现远程代码执行后果。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

开源软件 Nagios 曝11个漏洞，可使IT 基础设施遭接管引发供应链攻击

GitLab 督促用户安装安全更新，修复严重的管道漏洞

CISA 发布开源软件安全路线图

PHPFusion 开源 CMS 中存在严重漏洞

关于美国政府发布的开源软件安全RFI，你需要知道的都在这里

原文链接

https://thehackernews.com/2023/09/critical-security-flaws-exposed-in.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~