Cross-site request forgery (CSRF) vulnerability in cmd.cgi in (1) Nagios 3.0.5 and (2) op5 Monitor before 4.0.1 allows remote attackers to s

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nagios nagiosдо 3.0.4 включительно
• nagios nagios1.0
• nagios nagios1.0_b1
• nagios nagios1.0_b2
• nagios nagios1.0_b3
• nagios nagios1.0b1
• nagios nagios1.0b2
• nagios nagios1.0b3
• nagios nagios1.0b4
• nagios nagios1.0b5
• nagios nagios1.0b6
• nagios nagios1.1
• nagios nagios1.2
• nagios nagios1.3
• nagios nagios1.4
• nagios nagios1.4.1
• nagios nagios2.0
• nagios nagios2.0b1
• nagios nagios2.0b2
• nagios nagios2.0b3

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2009-2288statuswml.cgi in Nagios before 3.1.1 allows remote attackers to execute arbitrary commands via shell metacharacters in the (1) ping or (2) T
  55В плане
• CVE-2012-6096Multiple stack-based buffer overflows in the get_history function in history.cgi in Nagios Core before 3.4.4, and Icinga 1.6.x before 1.6.2,
  50В плане
• CVE-2016-9565MagpieRSS, as used in the front-end component in Nagios Core before 4.2.2 might allow remote attackers to read or write to arbitrary files b
  46В плане
• CVE-2002-1959Nagios 1.0b1 through 1.0b3 allows remote attackers to execute arbitrary commands via shell metacharacters in plugin output.
  41В плане
• CVE-2016-0726The Fedora Nagios package uses "nagiosadmin" as the default password for the "nagiosadmin" administrator account, which makes it easier for
  40В плане
• CVE-2013-7108Multiple off-by-one errors in Nagios Core 3.5.1, 4.0.2, and earlier, and Icinga before 1.8.5, 1.9 before 1.9.4, and 1.10 before 1.10.2 allow
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.