প্রভাব
LibreNMS সংস্করণ 24.9.1 এবং তার আগের একটি দুর্বলতা রয়েছে যা প্রমাণীকৃত ব্যবহারকারীদের OS কমান্ড ইনজেকশন [S2] সঞ্চালনের অনুমতি দেয়। সফল শোষণ ওয়েব সার্ভার ব্যবহারকারী [S1] এর বিশেষাধিকারের সাথে নির্বিচারে আদেশ কার্যকর করতে সক্ষম করে। এটি সম্পূর্ণ সিস্টেম আপস, সংবেদনশীল পর্যবেক্ষণ ডেটাতে অননুমোদিত অ্যাক্সেস এবং LibreNMS [S2] দ্বারা পরিচালিত নেটওয়ার্ক অবকাঠামোর মধ্যে সম্ভাব্য পার্শ্বীয় আন্দোলনের দিকে পরিচালিত করতে পারে।
মূল কারণ
একটি অপারেটিং সিস্টেম কমান্ড [S1]-এ অন্তর্ভুক্ত হওয়ার আগে ব্যবহারকারীর সরবরাহকৃত ইনপুটটির অনুপযুক্ত নিরপেক্ষতার মধ্যে দুর্বলতার মূল রয়েছে। এই ত্রুটিটি CWE-78 [S1] হিসাবে শ্রেণীবদ্ধ করা হয়েছে৷ প্রভাবিত সংস্করণগুলিতে, নির্দিষ্ট প্রমাণীকৃত এন্ডপয়েন্টগুলি সিস্টেম-লেভেল এক্সিকিউশন ফাংশন [S2]-এ পাস করার আগে পরামিতিগুলিকে পর্যাপ্তভাবে যাচাই বা স্যানিটাইজ করতে ব্যর্থ হয়।
প্রতিকার
এই সমস্যাটি [S2] সমাধানের জন্য ব্যবহারকারীদের তাদের LibreNMS ইনস্টলেশন 24.10.0 বা পরবর্তী সংস্করণে আপগ্রেড করা উচিত। একটি সাধারণ নিরাপত্তা সর্বোত্তম অনুশীলন হিসাবে, LibreNMS প্রশাসনিক ইন্টারফেসে অ্যাক্সেস ফায়ারওয়াল বা অ্যাক্সেস কন্ট্রোল লিস্ট (ACLs) [S1] ব্যবহার করে বিশ্বস্ত নেটওয়ার্ক বিভাগে সীমাবদ্ধ করা উচিত।
কিভাবে FixVibe এর জন্য পরীক্ষা করে
FixVibe এখন এটি GitHub রেপো স্ক্যানে অন্তর্ভুক্ত করে। চেক শুধুমাত্র composer.lock এবং composer.json সহ অনুমোদিত রিপোজিটরি নির্ভরতা ফাইলগুলি পড়ে৷ এটি librenms/librenms লক করা সংস্করণ বা সীমাবদ্ধতাগুলিকে পতাকাঙ্কিত করে যা প্রভাবিত পরিসর <=24.9.1 এর সাথে মেলে, তারপর নির্ভরতা ফাইল, লাইন নম্বর, উপদেষ্টা আইডি, প্রভাবিত পরিসর এবং নির্দিষ্ট সংস্করণের প্রতিবেদন করে।
এটি একটি স্ট্যাটিক, রিড-ওনলি রেপো চেক। এটি গ্রাহক কোড কার্যকর করে না এবং শোষণ পেলোড পাঠায় না।