Nagios XI cross-site scripting és cross-site request forgery sérülékenységek

CH azonosító

CH-3485

Felfedezés dátuma

2010.08.11.

Súlyosság

Alacsony

Érintett rendszerek

Nagios Enterprises
Nagios XI

Érintett verziók

Nagios XI 2009.x

Összefoglaló

Több sérülékenységet találtak a Nagios XI-ben, amelyeket kihasználva a támadók cross-site request forgery (XSRF/CSRF) és cross-site scripting (XSS/CSS) támadásokat indíthatnak.

Leírás

  1. Az alkalmazás lehetővé teszi a felhasználók számára, hogy bizonyos műveleteket hajtsanak végre HTTP kéréseken keresztül anélkül, hogy megfelelően ellenőrizné a kéréseket. Ez kihasználható például az adminisztrátor jelszavának módosítására, amennyiben az adminisztrátor meglátogat egy rosszindulatú weboldalt.

    A sérülékenységet a 2009R1.2B verzióban jelentették. Más verziók is érintettek lehetnek.

  2. Nem részletezett bevtiteli adat nincs megfelelően megtisztítva, mielőtt visszakerüle a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.

    A sérülékenységet a 2009R2.1C előtti kiadásokban jelentették.

Megoldás

Frissítsen a legújabb verzióra