Vplyv
LibreNMS verzie 24.9.1 a staršie obsahujú chybu zabezpečenia, ktorá umožňuje overeným používateľom vykonávať vkladanie príkazov OS [S2]. Úspešné využitie umožňuje vykonávanie ľubovoľných príkazov s oprávneniami používateľa webového servera [S1]. To môže viesť k úplnému ohrozeniu systému, neoprávnenému prístupu k citlivým monitorovacím údajom a potenciálnemu bočnému pohybu v rámci sieťovej infraštruktúry spravovanej LibreNMS [S2].
Hlavná príčina
Zraniteľnosť má korene v nesprávnej neutralizácii vstupu dodaného používateľom pred jeho začlenením do príkazu operačného systému [S1]. Táto chyba je klasifikovaná ako CWE-78 [S1]. V ovplyvnených verziách špecifické overené koncové body zlyhajú pri adekvátnej validácii alebo dezinfekcii parametrov pred ich odovzdaním funkciám vykonávania na úrovni systému [S2].
Oprava
Používatelia by mali aktualizovať svoju inštaláciu LibreNMS na verziu 24.10.0 alebo novšiu, aby tento problém vyriešili [S2]. Ako všeobecný osvedčený postup zabezpečenia by mal byť prístup k administratívnemu rozhraniu LibreNMS obmedzený na dôveryhodné sieťové segmenty pomocou brán firewall alebo zoznamov riadenia prístupu (ACL) [S1].
Ako to testuje FixVibe
FixVibe to teraz zahŕňa v repo skenoch GitHub. Kontrola prečíta iba súbory závislostí autorizovaného úložiska vrátane composer.lock a composer.json. Označí zamknuté verzie alebo obmedzenia librenms/librenms, ktoré zodpovedajú ovplyvnenému rozsahu <=24.9.1, potom nahlási súbor závislosti, číslo riadku, ID poradcu, ovplyvnený rozsah a pevnú verziu.
Toto je statická repo kontrola len na čítanie. Nevykonáva zákaznícky kód a neposiela užitočné zaťaženia.