გავლენა
LibreNMS ვერსიები 24.9.1 და უფრო ადრე შეიცავს დაუცველობას, რომელიც ავტორიზებულ მომხმარებლებს საშუალებას აძლევს შეასრულონ OS ბრძანების შეყვანა [S2]. წარმატებული ექსპლუატაცია საშუალებას იძლევა თვითნებური ბრძანებების შესრულება ვებ სერვერის მომხმარებლის [S1] პრივილეგიებით. ამან შეიძლება გამოიწვიოს სისტემის სრული კომპრომისი, არაავტორიზებული წვდომა სენსიტიური მონიტორინგის მონაცემებზე და პოტენციური გვერდითი მოძრაობა ქსელის ინფრასტრუქტურაში, რომელსაც მართავს LibreNMS [S2].
ძირეული მიზეზი
დაუცველობა ემყარება მომხმარებლის მიერ მიწოდებული შეყვანის არასათანადო განეიტრალებას, სანამ ის ჩაერთვება ოპერაციული სისტემის ბრძანებაში [S1]. ეს ხარვეზი კლასიფიცირებულია როგორც CWE-78 [S1]. დაზარალებულ ვერსიებში, კონკრეტული ავთენტიფიცირებული საბოლოო წერტილები ვერ ახერხებენ პარამეტრების ადეკვატურად ვალიდაციას ან გაწმენდას, სანამ მათ გადასცემენ სისტემის დონის შესრულების ფუნქციებს [S2].
გამოსწორება
მომხმარებლებმა უნდა განაახლონ თავიანთი LibreNMS ინსტალაცია 24.10.0 ან უფრო ახალ ვერსიაზე, რათა გადაჭრას ეს პრობლემა [S2]. როგორც ზოგადი უსაფრთხოების საუკეთესო პრაქტიკა, LibreNMS-ის ადმინისტრაციულ ინტერფეისზე წვდომა უნდა შემოიფარგლოს სანდო ქსელის სეგმენტებით, რომლებიც იყენებენ firewalls-ს ან წვდომის კონტროლის სიებს (ACL) [S1].
როგორ ამოწმებს მას FixVibe
FixVibe ახლა მას მოიცავს GitHub რეპოს სკანირებაში. შემოწმება იკითხება მხოლოდ ავტორიზებული საცავის დამოკიდებულების ფაილებს, მათ შორის composer.lock და composer.json. ის მონიშნავს librenms/librenms ჩაკეტილ ვერსიებს ან შეზღუდვებს, რომლებიც ემთხვევა დაზარალებულ დიაპაზონს <=24.9.1, შემდეგ აცნობებს დამოკიდებულების ფაილს, ხაზის ნომერს, საკონსულტაციო ID-ებს, დაზარალებულ დიაპაზონს და ფიქსირებულ ვერსიას.
ეს არის სტატიკური, მხოლოდ წაკითხვადი რეპო შემოწმება. ის არ ახორციელებს მომხმარებლის კოდს და არ აგზავნის ექსპლოიტის დატვირთვას.