Nagios Log Server 2.1.6に保存型XSSの脆弱性が発見 ― 今すぐアップデートを

人気のログ監視・管理アプリケーション「Nagios Log Server」のバージョン2.1.6(テスト時点での最新版)について検証を行ったところ、保存型XSS(Stored XSS)攻撃に対して脆弱であることが判明しました。

CVE ID: CVE-2020-16157

概要

Nagios Log Serverは、組織がログの閲覧、並べ替え、設定などを一元的に行えるようにする、広く利用されているログ管理・監視・分析ソフトウェアです。今回、バージョン2.1.6において保存型XSSの脆弱性が確認されました。

保存型XSS(Cross-Site Scripting)攻撃とは、攻撃者が悪意のあるスクリプト(ペイロード)を標的となるアプリケーション内(たとえばデータベースなど)に永続的に保存させる攻撃手法です。典型的な例としては、ブログのコメント欄やフォーラムの投稿に、攻撃者が悪意あるスクリプトを挿入するケースが挙げられます。

影響

この脆弱性は深刻度が高いと評価されており、攻撃者(本ケースでは認証済みの一般ユーザー)はこれを悪用して、悪意のあるJavaScriptを実行することが可能です。これにより、Cookieの窃取、ユーザーの不正なリダイレクト、被害者(本ケースでは管理者)になりすました任意の操作の実行、キーストロークの記録など、さまざまな攻撃が行われる恐れがあります。

さらに、この攻撃では、他のユーザーに特定のリクエストを送信させるよう外部から誘導する手段を見つける必要がありません。攻撃者はエクスプロイトをアプリケーション自体に仕掛けておき、単に犠牲者がそれに接触するのを待つだけでよいのです。

脆弱性の詳細

/profileページまたは/admin/users/createページにおけるフルネーム(Full Name)およびユーザー名(Username)の各フィールドが、保存型XSSに対して脆弱です。いずれかのフィールドにペイロードを保存した後、アラート(Alerting)ページ(/alerts)に移動し、新しいアラートを作成します。その際、通知方法(Notification Method)としてEmail Usersを選択すると、ユーザーリストが表示された時点でペイロードが実行されることが確認できます(下図参照)。

タイムライン

• 2020年7月8日:Nagiosチームへ脆弱性を報告
• 2020年7月28日:当該脆弱性の修正を含むNagios Log Server 2.1.7がリリース

推奨事項

本アプリケーションをご利用の場合は、最新バージョンへのアップデートを強く推奨します。

参考情報

• https://www.nagios.com/downloads/nagios-log-server/change-log/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-16157
• https://nvd.nist.gov/vuln/detail/CVE-2020-16157