Nagios?XI远程号令执行缝隙风险公告

颁布功夫 2020-01-03

缝隙编号和级别


CVE编号：CVE-2019-20197，危险级别：高危，CVSS分值：官方未评定


影响版本


Nagios XI 5.6.9 版本


缝隙概述


Nagios XI是美国Nagios公司的一套IT基础设施监控解决规划。该规划支持对利用、服务、操作系统等进行监控和预警。

Nagios XI 5.6.9版本中存在安全缝隙。攻击者可通过向schedulereport.php文件发送带有shell元字符的‘id’参数利用该缝隙执行肆意的操作系统号令。


缝隙验证


POC: https://code610.blogspot.com/2019/12/postauth-rce-in-latest-nagiosxi.html。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：https://www.nagios.org/。


参考链接


http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201912-1534