Nagios Nagios XI のOSコマンドインジェクションの脆弱性（CVE-2021-25298）

何が起きた

監視ソフト Nagios XI の設定ウィザード（cloud-vm）の部分に、入力の確かめ方が不十分なため OS コマンドインジェクションが起きる弱点が見つかりました。NVD の説明によると、ログイン済みの利用者が細工した 1 回の HTTP の要求を送ると、Nagios XI のサーバーで OS の命令を実行させられるおそれがあります。NVD の評価では、一般利用者程度の権限を持つ攻撃者が離れた場所から悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Nagios XI の xi-5.7.5 が影響を受けます。ほかに影響を受けるバージョンは、このデータからは不明です。

何をすればいい

修正版の番号は、このデータと確かめた公式情報からは分かりませんでした。CISA はメーカーの案内に沿って更新するよう求めているため、Nagios XI を最新版に更新し、xi-5.7.5 のままにしないでください。公式の案内を確認してください。

やることチェックリスト

• Nagios XI の版を調べる
• Nagios XI を最新版に更新する
• xi-5.7.5 のまま運用しない

用語メモ

OS コマンドインジェクション

入力に OS への命令を混ぜ込み、サーバーにその命令を実行させてしまう攻撃の手口です。

設定ウィザード

画面の案内に沿って、順番に設定を進められる仕組みです。