Vaikutus
LibreNMS-versiot 24.9.1 ja sitä aiemmat versiot sisältävät haavoittuvuuden, jonka avulla todennetut käyttäjät voivat suorittaa käyttöjärjestelmän komentojen lisäyksen [S2]. Onnistunut hyväksikäyttö mahdollistaa mielivaltaisten komentojen suorittamisen verkkopalvelimen käyttäjän [S1] oikeuksilla. Tämä voi johtaa järjestelmän täydelliseen vaarantumiseen, luvattomaan pääsyyn arkaluontoisiin valvontatietoihin ja mahdolliseen sivusuuntaiseen liikkeeseen LibreNMS [S2]:n hallinnoimassa verkkoinfrastruktuurissa.
Perussyy
Haavoittuvuus johtuu käyttäjän toimittaman syötteen virheellisestä neutraloinnista ennen kuin se sisällytetään käyttöjärjestelmän komentoon [S1]. Tämä virhe on luokiteltu CWE-78 [S1]. Näissä versioissa tietyt todennetut päätepisteet eivät pysty vahvistamaan tai puhdistamaan parametreja riittävästi ennen niiden siirtämistä järjestelmätason suoritustoimintoihin [S2].
Korjaus
Käyttäjien tulee päivittää LibreNMS-asennuksensa versioon 24.10.0 tai uudempaan tämän ongelman ratkaisemiseksi. [S2]. Yleisenä turvallisuuden parhaana käytäntönä LibreNMS-hallintaliittymän käyttö tulisi rajoittaa luotettuihin verkkosegmentteihin palomuureja tai pääsynvalvontaluetteloita (ACL) käyttäen. [S1].
Kuinka FixVibe testaa sitä
FixVibe sisältää tämän nyt GitHub reposkannauksissa. Tarkistus lukee vain valtuutetut arkiston riippuvuustiedostot, mukaan lukien composer.lock ja composer.json. Se merkitsee librenms/librenms lukitut versiot tai rajoitukset, jotka vastaavat vaikutusaluetta <=24.9.1, ja raportoi sitten riippuvuustiedoston, rivinumeron, neuvoa-antavat tunnukset, vaikutusalueen ja kiinteän version.
Tämä on staattinen, vain luku -muotoinen repo-tarkistus. Se ei suorita asiakaskoodia eikä lähetä hyötykuormia.