• ひとことでNagios XI で、ログイン済みの利用者にサーバーの命令を実行される弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることNagios XI の版を調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-25298
製品Nagios Nagios XI
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-01-18
米国政府機関の対応期限2022-02-01
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）
CWE-138

何が起きた

監視ソフト Nagios XI の設定ウィザード（cloud-vm）の部分に、入力の確かめ方が不十分なため OS コマンドインジェクションが起きる弱点が見つかりました。NVD の説明によると、ログイン済みの利用者が細工した 1 回の HTTP の要求を送ると、Nagios XI のサーバーで OS の命令を実行させられるおそれがあります。NVD の評価では、一般利用者程度の権限を持つ攻撃者が離れた場所から悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログイン済みの利用者になる → 2. 設定ウィザードに細工した要求を送る → 3. 入力に混ぜた命令がサーバーで動く1攻撃者がログイン済みの利用者になる2設定ウィザードに細工した要求を送る3入力に混ぜた命令がサーバーで動く攻撃の流れ: 1. 攻撃者がログイン済みの利用者になる → 2. 設定ウィザードに細工した要求を送る → 3. 入力に混ぜた命令がサーバーで動く1攻撃者がログイン済みの利用者になる2設定ウィザードに細工した要求を送る3入力に混ぜた命令がサーバーで動く攻撃の流れ: 1. 攻撃者がログイン済みの利用者になる → 2. 設定ウィザードに細工した要求を送る → 3. 入力に混ぜた命令がサーバーで動く1攻撃者がログイン済みの利用者になる2設定ウィザードに細工した要求を送る3入力に混ぜた命令がサーバーで動く

誰が影響を受ける

NVD の説明によると、Nagios XI の xi-5.7.5 が影響を受けます。NVD の対象製品の設定では、5.5.6 から 5.7.5 までが対象とされています。

何をすればいい

修正版の番号は、このデータと確かめた公式情報からは分かりませんでした。CISA はメーカーの案内に沿って更新するよう求めているため、Nagios XI を最新版に更新し、xi-5.7.5 のままにしないでください。公式の案内を確認してください。

やることチェックリスト

  • Nagios XI の版を調べる
  • Nagios XI を最新版に更新する
  • xi-5.7.5 のまま運用しない

用語メモ

OS コマンドインジェクション 用語集で見る
入力に OS への命令を混ぜ込み、サーバーにその命令を実行させてしまう攻撃の手口です。
設定ウィザード
画面の案内に沿って、順番に設定を進められる仕組みです。

次に読む

同じ製品・メーカーの脆弱性Nagios XI（CVE-2021-25297）8.8 重要CVSS v3.1Nagios XI の設定ウィザードで、サーバーに命令を実行させられる弱点です。同じ製品・メーカーの脆弱性Nagios XI（CVE-2021-25296）8.8 重要CVSS v3.1Nagios XI の設定ウィザードで、サーバーに命令を実行させられる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Nagios XI OS Command Injection

概要

Nagios XI contains a vulnerability which can lead to OS command injection on the Nagios XI server.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る