CVE-2025-34322
Açıklama
Nagios Log Server 2026R1.0.1 öncesi sürümler, deneysel 'Natural Language Queries' özelliğinde kimlik doğrulaması gerektiren bir komut enjeksiyonu zafiyeti içermektedir. Bu özellik yapılandırıldığında; model seçimi ve bağlantı parametreleri dahil olmak üzere kullanıcı kontrollü belirli ayarlar genel yapılandırmadan okunur ve uygun girdi işleme veya komut satırı argüman temizleme işlemi yapılmaksızın shell_exec() aracılığıyla yürütülen bir kabuk komutuna eklenir. 'Global Settings' sayfasına erişimi olan kimlik doğrulanmış bir kullanıcı, bu alanlara özel olarak hazırlanmış değerler girerek ek kabuk komutları enjekte edebilir; bu durum 'www-data' kullanıcısı olarak rastgele komut çalıştırılmasına ve Log Server ana makinesinin ele geçirilmesine yol açar.
Nasıl düzeltilir
- nagios log_server2026 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nagios log_server | v < 2026, 2026 | 2026 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.