Викиновости

Критические уязвимости в системе мониторинга Centreon

18 октября 2014 года

Во всех версиях свободной системы мониторинга Centreon, выпущенных с 2008 года (с 2.0 по 2.5.2 включительно), выявлены критические уязвимости, которые могут быть эксплуатированы без прохождения аутентификации любым анонимным пользователем:

  • CVE-2014-3828 - возможность подстановки SQL-запросов. Проблема эксплуатируется через передачу POST-запросов вида "mnftr_id=1 or 1=1 union all select version(),2 -- /**" или "index=2' or 1=1 -- /**" к публично доступным скриптам.
  • CVE-2014-3829 - возможность удалённого выполнения команд на сервере. Для работы эксплоита требуется чтобы после атаки, хотя бы один аутентифицированный пользователь обратился к web-интерфейсу. Техника атаки сводится к передаче специально оформленного запроса к скрипту displayServiceStatus.php, который приводит к помещению в БД данных, которые будут переданы в качестве аргумента при построении графика без выполнения операций экранирования спецсимволов (можно указать ";ls").

Обновление с устранением уязвимостей пока не выпущены (Архивная копия от 9 февраля 2015 на Wayback Machine).

Источники

править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Критические уязвимости в системе мониторинга Centreon», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Критические_уязвимости_в_системе_мониторинга_Centreon&oldid=16720054