亚洲高清国产品国语在线观看,久久毛片网

　　開源組件的使用已經(jīng)很普遍，由于開源組件存在漏洞而導(dǎo)致的安全事件也屢見不鮮。管理在應(yīng)用和容器中使用開源和第三方代碼所帶來的安全、質(zhì)量和許可證合規(guī)性風(fēng)險(xiǎn)至關(guān)重要，尤其像Nagios這類廣泛應(yīng)用的開源免費(fèi)網(wǎng)絡(luò)監(jiān)視工具，如果存在漏洞，一旦遭受攻擊，受影響的用戶數(shù)量會(huì)很龐大。

　　Nagios XI是一款常用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件，日前其被披露存在多個(gè)漏洞，包括SQL 注入、路徑遍歷以及跨站腳本漏洞，在通用漏洞披露庫中編號(hào)分別為CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。

　　概述

　　新思科技網(wǎng)絡(luò)安全研究中心(CyRC)研究人員發(fā)現(xiàn)了Nagios XI存在三個(gè)漏洞。Nagios XI是一款廣泛使用的應(yīng)用程序、服務(wù)和網(wǎng)絡(luò)監(jiān)控軟件，擁有訪問網(wǎng)絡(luò)以及服務(wù)器配置和報(bào)告的特權(quán)。

　　漏洞：

　　CVE-2021-33177 - 批量修改工具中的身份驗(yàn)證后 SQL 注入。
　　CVE-2021-33178 - NagVis 報(bào)告模塊中的身份驗(yàn)證后路徑遍歷漏洞。
　　CVE-2021-33179 - 核心配置管理器上的反射型跨站點(diǎn)腳本 (XSS)。

　　受影響的軟件

　　CVE-2021-33177
　　Nagios XI 5.8.5 之前的版本。
　　CVE-2021-33178
　　Nagios XI 5.8.6 之前的版本（使用NagVis 插件）。該漏洞并不存在于 Nagios XI 代碼本身，但該插件是默認(rèn)安裝的。該漏洞存在于NagVis 插件 2.0.9 之前的版本中，該組件可以獨(dú)立升級(jí)到 2.0.9 或更高版本，或者在不需要時(shí)卸載。
　　CVE-2021-33179
　　Nagios XI 5.8.4 之前的版本。

　　漏洞影響

　　CVE-2021-33177
　　有權(quán)訪問批量修改工具的經(jīng)過身份驗(yàn)證的用戶（例如 admin）可以將任意 SQL 注入 UPDATE 語句。在默認(rèn)配置中，這允許執(zhí)行任意 PostgreSQL 函數(shù)。
　　CVSS 3.1 評(píng)分： 5.2 （中等）
　　CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C
　　CVE-2021-33178
　　有權(quán)訪問 NagVis ManageBackgrounds 端點(diǎn)的經(jīng)過身份驗(yàn)證的用戶（例如 admin）可以刪除服務(wù)器上受 Apache 服務(wù)器有效用戶權(quán)限限制的任意文件。
CVSS 3.1 評(píng)分： 4.5（中等）
CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C
CVE-2021-33179

　　當(dāng)用戶點(diǎn)擊惡意 URL 時(shí)，它可以在受攻擊者的瀏覽器中執(zhí)行任意 JavaScript 代碼，所有 Nagios XI 本地會(huì)話數(shù)據(jù)都可用。

　　CVSS 3.1 評(píng)分： 4.3（中等）

　　CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

　　修復(fù)建議

　　CVE-2021-33177

　　升級(jí)到Nagios XI 5.8.5或更高版本。

　　請(qǐng)參考： https://www.nagios.com/downloads/nagios-xi/change-log

　　CVE-2021-33178

　　NagVis插件升級(jí)到2.0.9或更高版本。此版本的 NagVis 插件綁定在 Nagios XI 5.8.6 或更高版本中。

　　請(qǐng)參考： https://www.nagios.com/downloads/nagios-xi/change-log

　　CVE-2021-33179

　　升級(jí)到Nagios XI 5.8.4 或更高版本。

　　請(qǐng)參考：https://www.nagios.com/downloads/nagios-xi/change-log

　　漏洞發(fā)現(xiàn)者

新思科技網(wǎng)絡(luò)安全研究中心(CyRC)研究人員Scott Tolley利用Seeker交互式應(yīng)用安全測(cè)試(IAST)工具發(fā)現(xiàn)以上漏洞。
新思科技對(duì)Nagios 團(tuán)隊(duì)的積極響應(yīng)和及時(shí)解決這些漏洞的能力表示認(rèn)可。

　　時(shí)間線

　　CVE-2021-33177