新思科技网络安全研究中心发现Nagios XI存在三个漏洞-电子工程世界

Nagios XI是一款常用的应用程序、服务和网络监控软件，日前其被披露存在多个漏洞，包括SQL 注入、路径遍历以及跨站脚本漏洞，在通用漏洞披露库中编号分别为CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。

概述

新思科技网络安全研究中心(CyRC)研究人员发现了Nagios XI存在三个漏洞。Nagios XI是一款广泛使用的应用程序、服务和网络监控软件，拥有访问网络以及服务器配置和报告的特权。

漏洞：

CVE-2021-33177 – 批量修改工具中的身份验证后 SQL 注入。

CVE-2021-33178 – NagVis 报告模块中的身份验证后路径遍历漏洞。

CVE-2021-33179 – 核心配置管理器上的反射型跨站点脚本 (XSS)。

受影响的软件

CVE-2021-33177

Nagios XI 5.8.5 之前的版本。

CVE-2021-33178

Nagios XI 5.8.6 之前的版本（使用NagVis 插件）。该漏洞并不存在于 Nagios XI 代码本身，但该插件是默认安装的。该漏洞存在于NagVis 插件 2.0.9 之前的版本中，该组件可以独立升级到 2.0.9 或更高版本，或者在不需要时卸载。

CVE-2021-33179

Nagios XI 5.8.4 之前的版本。

漏洞影响

CVE-2021-33177

有权访问批量修改工具的经过身份验证的用户（例如 admin）可以将任意 SQL 注入 UPDATE 语句。在默认配置中，这允许执行任意 PostgreSQL 函数。

CVSS 3.1 评分： 5.2 （中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N/E:P/RL:O/RC:C

CVE-2021-33178

有权访问 NagVis ManageBackgrounds 端点的经过身份验证的用户（例如 admin）可以删除服务器上受 Apache 服务器有效用户权限限制的任意文件。

CVSS 3.1 评分： 4.5（中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

CVE-2021-33179

当用户点击恶意 URL 时，它可以在受攻击者的浏览器中执行任意 JavaScript 代码，所有 Nagios XI 本地会话数据都可用。

CVSS 3.1 评分： 4.3（中等）

CVSS 3.1 vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

修复建议

CVE-2021-33177

升级到Nagios XI 5.8.5或更高版本。

CVE-2021-33178

NagVis插件升级到2.0.9或更高版本。此版本的 NagVis 插件绑定在 Nagios XI 5.8.6 或更高版本中。

CVE-2021-33179

升级到Nagios XI 5.8.4 或更高版本。

漏洞发现者

新思科技网络安全研究中心(CyRC)研究人员Scott Tolley利用Seeker®交互式应用安全测试(IAST)工具发现以上漏洞。

新思科技对Nagios 团队的积极响应和及时解决这些漏洞的能力表示认可。

时间线

CVE-2021-33177

2021年5月12日：首次披露该漏洞

2021年6月4日：Nagios安全团队验证并确认漏洞

2021年7月15日：Nagios XI 5.8.5 发布，修复了 CVE-2021-33177漏洞

2021年10月13日：新思科技发布漏洞报告

CVE-2021-33178

2021年5月12日：首次披露该漏洞

2021年6月4日：Nagios安全团队验证并确认漏洞

2021年9月2日：NagVis 插件 2.0.9 发布，修复了 CVE-2021-33178漏洞

2021年10月13日：新思科技发布漏洞报告

CVE-2021-33179

2021年5月12日：首次披露该漏洞

2021年6月4日：Nagios安全团队验证并确认漏洞

2021年6月10日：Nagios XI 5.8.4 发布，修复了 CVE-2021-33179漏洞

2021年10月13日：新思科技发布漏洞报告

关键字：新思科技网络安全漏洞引用地址：新思科技网络安全研究中心发现Nagios XI存在三个漏洞

上一篇：派拓网络推出安全访问服务边缘解决方案Prisma SASE
下一篇：Akamai发现API漏洞对全球公司和个人均具有很高的风险

推荐阅读最新更新时间：2024-10-21 17:47

新思科技网络安全研究中心发现Nagios XI存在三个漏洞

Nagios是应用广泛的一种免费开源的IT 监控软件，能够监控几乎所有类型的组件，例如应用程序、网络协议、Web服务器、操作系统、系统指标、网站，中间件等。一旦被恶意利用，不法分子可以攻击基础设施。新思科技网络安全研究中心发现Nagios XI存在三个漏洞，包括SQL 注入、跨站脚本漏洞以及路径遍历导致任意文件删除。 Nagios XI是一款常用的应用程序、服务和网络监控软件，日前其被披露存在多个漏洞，包括SQL 注入、路径遍历以及跨站脚本漏洞，在通用漏洞披露库中编号分别为CVE-2021-33177、 CVE-2021-33178及 CVE-2021-33179 。概述新思科技网络安全研究中心(CyRC)研究人员

[物联网]

新思科技网络安全研究中心发现Jetty Web服务器存在漏洞

拒绝服务是Web服务器常见的漏洞之一，这可能是由于超长URL或者畸形HTTP Header等原因引起的。Web服务器在处理这些请求时如果方式不当，就会导致出错终止或挂起。最近，CVE-2020-27223披露在Eclipse Foundation中广泛使用的Jetty Web服务器拒绝服务漏洞。Eclipse Foundation是管理和运营Eclipse开源项目的基金会。概述新思科技网络安全研究中心(CyRC)研究人员发现了CVE-2020-27223漏洞，即Eclipse Jetty中的拒绝服务漏洞。Eclipse Jetty是一种广泛使用的开源Web服务器和Servlet容器。根据Eclipse Foundati

[物联网]

<font color='red'>新思科技</font><font color='red'>网络安全</font>研究中心发现Jetty Web服务器存在<font color='red'>漏洞</font>

新思科技推出业内首款获得ISO/SAE 21434网络安全合规认证的IP产品，加速汽车安全领域发展

8月12日消息，新思科技（Synopsys, Inc.，）近日宣布，新思科技ARC® HS4xFS处理器IP通过了SGS-TṺV Saar机构的ISO/SAE 21434网络安全认证，满足了致力于保护网联汽车免受恶意网络攻击的严格汽车合规管理要求。ISO/SAE 21434标准规定了网络安全风险管理的工程要求，有助于确保在车辆的整个生命周期内监控、检测和降低网络风险。ARC HS4xFS处理器还通过了ISO 26262标准认证，符合安全关键型系统的ASIL D（随机）和ASIL D（系统）合规性要求，获得了网络安全和功能安全双重认证。此外，新思科技的IP开发流程也获得了ISO/SAE 21434标准认证，可确保其IP产品在开发周期

[汽车电子]

新思科技发布《2023年软件漏洞快照》报告

过去两年发现的漏洞数量减少了14% 如果您负责软件安全计划，深入了解软件风险可以有助于规划安全工作的战略改进；如果您从战略层面考虑安全性，则可以借鉴一些行业报告的数据，充分做好前瞻性规划。新思科技(Synopsys, Nasdaq: SNPS)近日发布了《2023年软件漏洞快照》报告。新思科技网络安全研究中心 (CyRC) 分析的数据显示，目标应用中发现的漏洞显著减少——从 2020 年的 97% 下降到 2022 年的 83%——这是一个令人鼓舞的迹象，表明代码审查、自动化测试和持续集成有助于减少常见的编程错误。该报告详细介绍了由新思科技安全测试服务运行的测试汇总出的三年数据（2020 年至 2022 年），测试

[物联网]

新思科技发布《2022年软件漏洞快照》报告

95%的应用存在漏洞，其中25%受到严重或高风险漏洞影响对于软件安全计划负责人来说，深入了解软件风险可以帮助他们做好安全规划，实现安全工作的战略性改进。新思科技(Synopsys, Nasdaq: SNPS)近日发布了《2022年软件漏洞快照》报告。该报告审查了对 2,700多个目标软件进行的 4,300 多次安全测试的结果，包括 Web 应用、移动应用、源代码文件和网络系统（即软件或系统）。大多数安全测试是侵入式“黑盒”或“灰盒”测试，包括渗透测试、动态应用安全测试 (DAST) 和移动应用安全测试 (MAST)，旨在探测在真实环境不法分子会如何攻击正在运行的应用。研究发现，82% 的测试目标是 Web

[物联网]

<font color='red'>新思科技</font>发布《2022年软件<font color='red'>漏洞</font>快照》报告

新思科技： OpenSSL缓冲区溢出漏洞的反思

新思科技： OpenSSL缓冲区溢出漏洞的反思新思科技指出世界在不断变化，安全事件也不会停止。但从各种安全事件中学会反思和改进，才能有机会跑赢攻击者，防患未然。近日，开放源代码的软件库包OpenSSL发布安全公告，其用于加密通信通道和 HTTPS 连接的开源密码库中存在两个高危漏洞，编号为 CVE-2022-3602 和 CVE-2022-3786，主要影响 OpenSSL 3.0.0 及更高版本。目前安全补丁已经发布。此前， OpenSSL预告于11月1日发布安全补丁。这种做法的好处是让有关团队有机会在补丁可用之前自查，确定哪些应用程序易受攻击。但这也是一把双刃剑：不法分子可能在补丁发布之前趁机进行有针对性的攻击。

[物联网]

新思科技最新报告显示97%的应用存在漏洞

新思科技最新报告显示97%的应用存在漏洞，其中有36%正受严重或高风险漏洞的影响在数字经济时代，软件是大多数企业与客户互动和提供客户支持的主要方式。如果企业所销售的软件或包含嵌入式软件的产品出现了影响产品使用的软件安全、合规或质量问题，将给企业带来难以承受的影响。即使是不直接参与软件或软件驱动产品销售的企业，也会受到软件质量和安全问题的影响。例如，大多数的工资单、账单、应收账款、销售跟踪和客户记录的管理系统都是由软件驱动的。软件控制生产、管理库存、指挥仓储活动、并运行着确保正常业务运营的分销系统。因此，对软件安全的了解及应用安全测试须更加全面。新思科技(Synopsys, Inc.，Nasdaq: SNPS)近日发布了

[嵌入式]

新思科技：移动应用程序的开源漏洞非常普遍

疫情期间广受欢迎的应用程序存在重大安全隐患现在，大多数人更依赖于移动应用程序，无论是在线购物还是远程办公。这对确保开源生态系统的安全性提出了更大的挑战。新思科技（Synopsys, Inc.，）近日宣布发布了《疫情中的安全隐患：移动应用程序安全现状》报告。报告也指出，移动应用程序的开源漏洞非常普遍。该报告由新思科技网络研究中心（CyRC）制作，审查了对2021年第一季度在Google Play商店中最受欢迎的3,335个安卓移动应用程序进行的研究结果。报告显示绝大多数应用程序（63%）包含具有已知安全漏洞的开源组件，并且强调了普遍存在的安全隐患，包括暴露在应用程序代码中的敏感数据以及过度使用的移动设备权限。

[手机便携]

<font color='red'>新思科技</font>：移动应用程序的开源<font color='red'>漏洞</font>非常普遍

热门资源推荐
热门放大器推荐

小广播