Таъсир
Версияҳои LibreNMS 24.9.1 ва қаблӣ дорои осебпазирӣ мебошанд, ки ба корбарони тасдиқшуда имкон медиҳад, ки тазриқи фармони OS [S2]-ро иҷро кунанд. Истифодаи бомуваффақият имкон медиҳад, ки фармонҳои худсарона бо имтиёзҳои корбари веб-сервер [S1] иҷро карда шаванд. Ин метавонад ба вайроншавии пурраи система, дастрасии беиҷозат ба маълумоти ҳассоси мониторинг ва ҳаракати эҳтимолии паҳлӯӣ дар дохили инфрасохтори шабакавӣ, ки аз ҷониби LibreNMS [S2] идора мешавад, оварда расонад.
Сабаби аслӣ
Ин осебпазирӣ дар безараргардонии нодурусти вуруди аз ҷониби корбар пеш аз ворид шудан ба фармони системаи оператсионии [S1] реша мегирад. Ин камбудӣ ҳамчун CWE-78 [S1] тасниф шудааст. Дар версияҳои зарардида, нуқтаҳои мушаххаси тасдиқшуда параметрҳоро пеш аз интиқоли онҳо ба функсияҳои иҷрои сатҳи система [S2] ба таври кофӣ тасдиқ намекунанд ё безарар мекунанд.
Ислоҳ
Истифодабарандагон бояд насби LibreNMS-и худро ба версияи 24.10.0 ё дертар навсозӣ кунанд, то ин масъаларо ҳал кунанд [S2]. Ҳамчун як таҷрибаи беҳтарини амнияти умумӣ, дастрасӣ ба интерфейси маъмурии LibreNMS бояд бо сегментҳои шабакаи боэътимод бо истифода аз брандмауэрҳо ё рӯйхати назорати дастрасӣ (ACLs) [S1] маҳдуд карда шавад.
Чӣ тавр FixVibe онро озмоиш мекунад
FixVibe ҳоло инро дар сканҳои репо GitHub дар бар мегирад. Санҷиш танҳо файлҳои вобастагии анбори ваколатдорро мехонад, аз ҷумла composer.lock ва composer.json. Он версияҳои қулфшуда ё маҳдудиятҳои librenms/librenms-ро, ки ба диапазони зарардида мувофиқат мекунанд librenms/librenms-ро нишон медиҳад, сипас дар бораи файли вобастагӣ, рақами сатр, ID-ҳои машваратӣ, диапазони таъсирдида ва версияи собит хабар медиҳад.
Ин санҷиши репо статикӣ ва танҳо барои хондан аст. Он рамзи муштариро иҷро намекунад ва борҳои истисморро намефиристад.