Нөлөөлөл
LibreNMS-ийн 24.9.1 ба түүнээс өмнөх хувилбарууд нь баталгаажсан хэрэглэгчдэд [S2] үйлдлийн системийн командыг оруулах боломжийг олгодог эмзэг байдлыг агуулдаг. Амжилттай ашиглах нь вэб серверийн хэрэглэгчийн [S1] давуу эрхээр дурын командуудыг гүйцэтгэх боломжийг олгодог. Энэ нь системийн бүрэн эвдрэл, хяналтын нууц мэдээлэлд зөвшөөрөлгүй нэвтрэх, LibreNMS [S2]-ийн удирддаг сүлжээний дэд бүтцийн хажуугийн хөдөлгөөнд хүргэж болзошгүй.
Үндсэн шалтгаан
Энэ эмзэг байдал нь хэрэглэгчийн оруулсан оролтыг үйлдлийн системийн [S1] командад оруулахаас өмнө буруу саармагжуулсантай холбоотой юм. Энэ дутагдлыг CWE-78 [S1] гэж ангилдаг. Нөлөөлөлд өртсөн хувилбаруудад тодорхой баталгаажсан төгсгөлийн цэгүүд нь параметрүүдийг [S2] системийн түвшний гүйцэтгэлийн функцүүдэд дамжуулахаас өмнө зохих ёсоор баталгаажуулж эсвэл ариутгаж чаддаггүй.
Засах
Хэрэглэгчид [S2] асуудлыг шийдэхийн тулд LibreNMS суулгацаа 24.10.0 буюу түүнээс хойшхи хувилбар болгон шинэчлэх хэрэгтэй. Хамгаалалтын ерөнхий шилдэг туршлагын хувьд LibreNMS-ийн удирдлагын интерфэйс рүү нэвтрэхийг галт хана эсвэл хандалтын хяналтын жагсаалт (ACL) [S1] ашиглан найдвартай сүлжээний сегментүүдээр хязгаарлах ёстой.
FixVibe үүнийг хэрхэн туршиж үздэг
FixVibe одоо үүнийг GitHub репо сканнд багтаасан болно. Шалгалт нь зөвхөн composer.lock болон composer.json зэрэг эрх бүхий репозиторын хамаарлын файлуудыг уншина. Энэ нь нөлөөлөлд өртсөн <=24.9.1 мужид тохирох librenms/librenms түгжигдсэн хувилбарууд эсвэл хязгаарлалтуудыг тэмдэглэж, дараа нь хамаарлын файл, мөрийн дугаар, зөвлөх ID, нөлөөлөлд өртсөн муж болон тогтмол хувилбарыг мэдээлнэ.
Энэ бол статик, зөвхөн уншигдах репо шалгалт юм. Энэ нь хэрэглэгчийн кодыг гүйцэтгэдэггүй бөгөөд ашиглалтын ачааллыг илгээдэггүй.