Khi thử nghiệm ứng dụng quản lý và giám sát nhật ký phổ biến, Nagios Log Server phiên bản 2.1.6 (mới nhất tại thời điểm thử nghiệm), chúng tôi nhận thấy rằng nó dễ bị tấn công Stored XSS.
ID CVE: CVE-2020-16157
Tóm tắt
Nagios Log Server là phần mềm quản lý, giám sát và phân tích nhật ký tập trung phổ biến cho phép các tổ chức xem, sắp xếp và định cấu hình nhật ký. Phiên bản 2.1.6 của ứng dụng được phát hiện là có lỗ hổng đối với XSS được lưu trữ.
Các cuộc tấn công Stored Cross Site Scripting liên quan đến việc kẻ tấn công đưa vào một tập lệnh (được gọi là tải trọng) được lưu trữ vĩnh viễn (lâu dài) trên ứng dụng đích (ví dụ:trong cơ sở dữ liệu). Một ví dụ cổ điển là một tập lệnh độc hại được kẻ tấn công chèn vào trường nhận xét trên blog hoặc trong một bài đăng trên diễn đàn.
Tác động
Kẻ tấn công (trong trường hợp này là người dùng thông thường đã được xác thực) có thể sử dụng lỗ hổng có mức độ nghiêm trọng cao này để thực thi JavaScript độc hại nhằm đánh cắp cookie, chuyển hướng người dùng, thực hiện các hành động tùy ý đối với nạn nhân (trong trường hợp này là quản trị viên), ghi lại thao tác gõ phím của họ và hơn.
Kẻ tấn công không cần phải tìm một cách bên ngoài để lôi kéo người dùng khác thực hiện một yêu cầu cụ thể có chứa khai thác của họ. Thay vào đó, kẻ tấn công đặt phần khai thác của chúng vào chính ứng dụng và chỉ cần đợi nạn nhân gặp nó.
Lỗ hổng bảo mật
Tên đầy đủ hoặc Tên người dùng trong / hồ sơ trang hoặc / admin / users / create trang dễ bị tấn công bởi XSS được lưu trữ. Sau khi tải trọng được lưu vào một trong các trường này, hãy điều hướng đến Cảnh báo trang ( / alerts ) và tạo một cảnh báo mới và chọn Người dùng email làm Phương thức thông báo . Khi danh sách người dùng được hiển thị, có thể thấy rằng tải trọng được thực thi, như được hiển thị bên dưới.
Dòng thời gian
- Lỗ hổng bảo mật được báo cáo cho nhóm Nagios vào ngày 8 tháng 7 năm 2020
- Nagios Log Server 2.1.7 chứa bản sửa lỗi cho lỗ hổng bảo mật được phát hành vào ngày 28 tháng 7 năm 2020
Đề xuất
Bạn nên cập nhật ứng dụng lên phiên bản mới nhất.
Tham khảo
- https://www.nagios.com/downloads/nagios-log-server/change-log/
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-16157
- https://nvd.nist.gov/vuln/detail/CVE-2020-16157