L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Nagios Open Source

vulnérabilité informatique CVE-2017-12847

Nagios : déni de service via nagios.lock PID File

Synthèse de la vulnérabilité

Produits concernés : Nagios Open Source.
Gravité : 1/4.
Conséquences : déni de service du service, déni de service du client.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 24/08/2017.
Références : CVE-2017-12847, VIGILANCE-VUL-23605.

Description de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via nagios.lock PID File de Nagios, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2016-6209

Nagios : Cross Site Scripting via corewindow

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via corewindow de Nagios, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Nagios Open Source.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 03/04/2017.
Références : CVE-2016-6209, VIGILANCE-VUL-22311.

Description de la vulnérabilité

Le produit Nagios dispose d'un service web.

Cependant, les données reçues via corewindow ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting via corewindow de Nagios, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2016-10089

Nagios : élévation de privilèges via /etc/init.d/nagios

Synthèse de la vulnérabilité

Produits concernés : Nagios Open Source, openSUSE Leap, SUSE Linux Enterprise Desktop, SLES.
Gravité : 1/4.
Conséquences : accès/droits privilégié.
Provenance : shell privilégié.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/01/2017.
Références : CVE-2016-10089, openSUSE-SU-2018:3258-1, SUSE-SU-2018:3240-1, VIGILANCE-VUL-21495.

Description de la vulnérabilité

Un attaquant local avec les privilèges de l'utilisateur nagios, peut créer un lien hard, pour forcer /etc/init.d/nagios de Nagios à changer le propriétaire d'un fichier appartenant à root.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2016-9566

Nagios : élévation de privilèges

Synthèse de la vulnérabilité

Produits concernés : Debian, Nagios Open Source, openSUSE Leap, Ubuntu.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 08/12/2016.
Date révision : 16/12/2016.
Références : CERTFR-2016-AVI-399, CVE-2016-9566, DLA-1615-1, DLA-751-1, openSUSE-SU-2017:0146-1, USN-3253-1, USN-3253-2, VIGILANCE-VUL-21328.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions de Nagios, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2016-9565

Nagios Open Source : exécution de code via l'interface RSS

Synthèse de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via une classe gérant RSS dans Nagios Open Source, afin d'exécuter du code.
Produits concernés : Debian, Nagios Open Source.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 15/12/2016.
Références : CVE-2016-9565, DLA-751-1, VIGILANCE-VUL-21395.

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via une classe gérant RSS dans Nagios Open Source, afin d'exécuter du code. Le problème est une mauvaise correction de VIGILANCE-VUL-12742, correspondant à VIGILANCE-VUL-16794.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2016-8641

Nagios : élévation de privilèges via /etc/init.d/nagios

Synthèse de la vulnérabilité

Produits concernés : Nagios Open Source, openSUSE Leap, SUSE Linux Enterprise Desktop, SLES.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/11/2016.
Références : CERTFR-2016-AVI-386, CVE-2016-8641, openSUSE-SU-2018:3258-1, SUSE-SU-2018:3240-1, VIGILANCE-VUL-21190.

Description de la vulnérabilité

Un attaquant local peut créer un fichier pour le script de démarrage /etc/init.d/nagios de Nagios, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité 20291

Nagios : Cross Site Request Forgery

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Request Forgery de Nagios, afin de forcer la victime à effectuer des opérations.
Produits concernés : Nagios Open Source.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/08/2016.
Références : CERTFR-2016-AVI-256, VIGILANCE-VUL-20291.

Description de la vulnérabilité

Le produit Nagios dispose d'un service web.

Cependant, l'origine des requêtes n'est pas validée. Elles peuvent par exemple provenir d'une image affichée dans un document HTML.

Un attaquant peut donc provoquer un Cross Site Request Forgery de Nagios, afin de forcer la victime à effectuer des opérations.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2014-4703

Nagios Plugins : obtention d'information via check_dhcp

Synthèse de la vulnérabilité

Un attaquant peut employer check_dhcp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Produits concernés : Fedora, Nagios Open Source.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 30/06/2014.
Références : CVE-2014-4703, FEDORA-2015-12972, FEDORA-2015-12987, VIGILANCE-VUL-14952.

Description de la vulnérabilité

Le script check_dhcp de Nagios Plugins vérifie la présence d'un serveur DHCP. Ce script est installé suid root.

L'option "--extra-opts" permet de lire un fichier au format INI :
  [section]
  var=val

Le script check_dhcp lit ces fichiers avec les privilèges root. Pour se protéger de VIGILANCE-VUL-14761, le script vérifie si l'utilisateur a le droit de lire le fichier. Cependant, un attaquant local peut créer un lien symbolique durant la vérification, puis pointer vers le fichier avant l'ouverture.

Un attaquant peut donc employer check_dhcp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2014-4702

Nagios Plugins : obtention d'information via check_icmp

Synthèse de la vulnérabilité

Un attaquant peut employer check_icmp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Produits concernés : Fedora, Nagios Open Source.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 21/05/2014.
Références : CVE-2014-4702, FEDORA-2015-12972, FEDORA-2015-12987, VIGILANCE-VUL-14776.

Description de la vulnérabilité

Le script check_icmp de Nagios Plugins est installé suid root.

L'option "--extra-opts" permet de lire un fichier au format INI :
  [section]
  var=val

Cependant, check_icmp lit ces fichiers avec les privilèges root.

Un attaquant peut donc employer check_icmp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2014-4701

Nagios Plugins : obtention d'information via check_dhcp

Synthèse de la vulnérabilité

Un attaquant peut employer check_dhcp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Produits concernés : Fedora, Nagios Open Source.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 16/05/2014.
Références : CVE-2014-4701, FEDORA-2015-12972, FEDORA-2015-12987, VIGILANCE-VUL-14761.

Description de la vulnérabilité

Le script check_dhcp de Nagios Plugins vérifie la présence d'un serveur DHCP. Ce script est installé suid root.

L'option "--extra-opts" permet de lire un fichier au format INI :
  [section]
  var=val

Cependant, check_dhcp lit ces fichiers avec les privilèges root.

Un attaquant peut donc employer check_dhcp de Nagios Plugins, pour lire les fichiers au format INI, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Nagios Open Source :