Virkning
LibreNMS versjoner 24.9.1 og tidligere inneholder en sårbarhet som lar autentiserte brukere utføre OS-kommandoinjeksjon [S2]. Vellykket utnyttelse muliggjør kjøring av vilkårlige kommandoer med rettighetene til webserverbrukeren [S1]. Dette kan føre til fullstendig systemkompromittering, uautorisert tilgang til sensitive overvåkingsdata og potensiell sideveis bevegelse innenfor nettverksinfrastrukturen administrert av LibreNMS [S2].
Grunnårsak
Sårbarheten er forankret i feil nøytralisering av brukerlevert inndata før den blir inkorporert i en operativsystemkommando [S1]. Denne feilen er klassifisert som CWE-78 [S1]. I berørte versjoner klarer ikke spesifikke autentiserte endepunkter tilstrekkelig å validere eller rense parametere før de sendes til systemnivåutførelsesfunksjonene [S2].
Utbedring
Brukere bør oppgradere LibreNMS-installasjonen til versjon 24.10.0 eller nyere for å løse dette problemet [S2]. Som en generell beste praksis for sikkerhet bør tilgang til LibreNMS administrative grensesnitt begrenses til klarerte nettverkssegmenter som bruker brannmurer eller tilgangskontrolllister (ACL) [S1].
Hvordan FixVibe tester for det
FixVibe inkluderer nå dette i GitHub repo-skanninger. Sjekken leser kun autoriserte depotavhengighetsfiler, inkludert composer.lock og composer.json. Den flagger librenms/librenms-låste versjoner eller begrensninger som samsvarer med det berørte området <=24.9.1, og rapporterer deretter avhengighetsfilen, linjenummeret, rådgivende ID-er, berørt område og fast versjon.
Dette er en statisk, skrivebeskyttet repo-sjekk. Den kjører ikke kundekode og sender ikke nyttelaster.