लोकप्रिय लॉग मॉनिटरिंग और मैनेजमेंट एप्लिकेशन, नागियोस लॉग सर्वर संस्करण 2.1.6 (टेस्टिंग के समय नवीनतम) का परीक्षण करने पर, हमने पाया कि यह स्टोर्ड XSS हमलों के प्रति संवेदनशील है।
CVE ID: CVE-2020-16157
सारांश
नागियोस लॉग सर्वर एक लोकप्रिय सेंट्रलाइज़्ड लॉग मैनेजमेंट, मॉनिटरिंग और एनालिसिस सॉफ्टवेयर है जो संगठनों को लॉग्स देखने, सॉर्ट करने और कॉन्फ़िगर करने की अनुमति देता है। एप्लिकेशन का संस्करण 2.1.6 स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS) के प्रति संवेदनशील पाया गया।
स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग हमलों में एक हमलावर एक स्क्रिप्ट इंजेक्ट करता है (जिसे पेलोड कहा जाता है) जो टार्गेट एप्लिकेशन पर स्थायी रूप से संग्रहीत (पर्सिस्ट) होता है (उदाहरण के लिए डेटाबेस के भीतर)। एक क्लासिक उदाहरण एक ब्लॉग पर कमेंट फील्ड में या एक फ़ोरम पोस्ट में एक हमलावर द्वारा डाली गई दुर्भावनापूर्ण स्क्रिप्ट है।
प्रभाव
एक हमलावर (इस मामले में, एक प्रमाणित नियमित उपयोगकर्ता) इस उच्च गंभीरता वाली भेद्यता का उपयोग दुर्भावनापूर्ण जावास्क्रिप्ट निष्पादित करने के लिए कर सकता है जिसका उद्देश्य कुकीज़ चुराना, उपयोगकर्ताओं को रीडायरेक्ट करना, पीड़ित की ओर से (इस मामले में, एक एडमिन की ओर से) मनमाने कार्य करना, उनके कीस्ट्रोक लॉग करना और बहुत कुछ है।
हमलावर को अन्य उपयोगकर्ताओं को अपने शोषण वाले विशेष अनुरोध करने के लिए प्रेरित करने का कोई बाहरी तरीका खोजने की आवश्यकता नहीं है। बल्कि, हमलावर अपने शोषण को एप्लिकेशन में ही रखता है और बस पीड़ित के इसका सामना करने की प्रतीक्षा करता है।
भेद्यता
/profile पेज या /admin/users/create पेज में फुल नेम या यूज़रनेम स्टोर्ड XSS के प्रति संवेदनशील है। एक बार जब इन फील्ड्स में से किसी एक में पेलोड सेव हो जाता है, तो अलर्टिंग पेज (/alerts) पर जाएं और एक नया अलर्ट बनाएं और नोटिफिकेशन मेथड के रूप में ईमेल यूज़र्स चुनें। जैसा कि यूज़र लिस्ट दिखाई जाती है, यह देखा जा सकता है कि पेलोड निष्पादित हो जाता है, जैसा कि नीचे दिखाया गया है।
टाइमलाइन
- भेद्यता 8 जुलाई, 2020 को नागियोस टीम को रिपोर्ट की गई
- नागियोस लॉग सर्वर 2.1.7 जिसमें भेद्यता का फिक्स शामिल है, 28 जुलाई, 2020 को जारी किया गया
सिफारिश
एप्लिकेशन को नवीनतम संस्करण में अपडेट करने की दृढ़ता से सिफारिश की जाती है।
संदर्भ
- https://www.nagios.com/downloads/nagios-log-server/change-log/
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-16157
- https://nvd.nist.gov/vuln/detail/CVE-2020-16157
