影響
LibreNMS バージョン 24.9.1 以前には、認証されたユーザーが OS コマンド インジェクション [S2] を実行できる脆弱性が含まれています。悪用に成功すると、Web サーバー ユーザー [S1] の権限で任意のコマンドを実行できるようになります。これにより、システム全体が侵害され、機密監視データへの不正アクセスが発生し、LibreNMS [S2] によって管理されるネットワーク インフラストラクチャ内での横方向の移動が発生する可能性があります。
根本原因
この脆弱性は、オペレーティング システム コマンド [S1] に組み込まれる前に、ユーザーが入力した入力が不適切に無効化されることに原因があります。この欠陥は、CWE-78 [S1] として分類されます。影響を受けるバージョンでは、特定の認証されたエンドポイントが、パラメータをシステムレベルの実行関数 [S2] に渡す前に適切に検証またはサニタイズできません。
修復
この問題 [S2] を解決するには、ユーザーは LibreNMS インストールをバージョン 24.10.0 以降にアップグレードする必要があります。一般的なセキュリティのベスト プラクティスとして、LibreNMS 管理インターフェイスへのアクセスは、ファイアウォールまたはアクセス コントロール リスト (ACL) [S1] を使用して、信頼できるネットワーク セグメントに制限する必要があります。
FixVibe がそれをテストする方法
FixVibe では、これが GitHub リポジトリ スキャンに含まれるようになりました。このチェックでは、composer.lock や composer.json など、承認されたリポジトリ依存関係ファイルのみが読み取られます。影響を受ける範囲 <=24.9.1 に一致する librenms/librenms ロックされたバージョンまたは制約にフラグを立てて、依存関係ファイル、行番号、アドバイザリ ID、影響を受ける範囲、および修正バージョンをレポートします。
これは静的な読み取り専用リポジトリ チェックです。顧客のコードは実行されず、エクスプロイト ペイロードも送信されません。