主机、服务和网络的监控和管理系统 nagios3 中修正了多个问题。CVE-2018-18245 usd AG 的 Maximilian Boehner 发现，Nagios Core 中存在跨站脚本 (XSS) 漏洞。此漏洞可让攻击者通过操纵插件输出，将恶意 JavaScript 代码植入 web 前端。为了利用此漏洞，攻击者需要有能力操纵 nagios 检查返回的输出，例如通过替换某个受监控端点上的插件。而执行有效负载则要求经过身份验证的用户创建包含有相应输出的提醒摘要报告。CVE-2016-9566 据发现，拥有 nagios 群组中帐户访问权限的本地用户可能会通过针对调试日志文件的符号链接攻击，从而获取 root 特权。CVE-2014-1878 允许远程攻击者通过发送到 cmd.cgi 的长消息造成基于堆栈的缓冲区溢出，进而造成拒绝服务（段错误）的问题已修正。CVE-2013-7205 | CVE-2013-7108 Nagios 中可能会受到利用造成拒绝服务的缺陷已修正。此漏洞由 process_cgivars() 函数中的差一错误引入，通过向 Nagios web UI 发送特别构建的键值可以利用此漏洞造成越界读取。对于 Debian 8“Jessie”，这些问题已在 3.5.1.dfsg-2+deb8u1 版本中修复。我们建议您升级 nagios3 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1615-1：nagios3 安全更新

high Nessus 插件 ID 119875

版本 1.7