Nagios XI 通知横幅功能存在SQL注入漏洞(CVE-2023-40931)

CVE编号

CVE-2023-40931

利用情况

暂无

补丁情况

N/A

披露时间

2023-09-20
漏洞描述
Nagios XI 是 Nagios 的商业版本，应用于 IT 基础设施和网络监控，思科、PayPal、爱彼迎等9000多企业采用Nagios作为商业监控解决方案。
Nagios XI 5.11.2之前版本由于未对通知横幅的消息 id 参数进行过滤，当启用通知横幅功能时，经过身份验证的客户端用户可向 /nagiosxi/admin/banner_message-ajaxhelper.php Api端口发送包含恶意POST数据(如：action=acknowledgebanner message&id=xxx)的 http 请求进行SQL注入，进而获取数据库敏感信息(如：用户的 API 令牌或散列密码等)。
解决建议
"升级nagios_xi到 5.11.2 或更高版本"
参考链接
http://nagios.com
https://outpost24.com/blog/nagios-xi-vulnerabilities/
https://www.nagios.com/products/security/
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 nagios nagios_xi * From
(including)
5.11.0 		Up to
(excluding)
5.11.2
CVSS3评分
6.5
  • 攻击路径
    网络
  • 攻击复杂度
    低
  • 权限要求
    低
  • 影响范围
    未更改
  • 用户交互
    无
  • 可用性
    无
  • 保密性
    高
  • 完整性
    无
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CWE-ID 漏洞类型
CWE-89 SQL命令中使用的特殊元素转义处理不恰当（SQL注入）
阿里云安全产品覆盖情况