BDU:2019-01845

Опубликовано: 01 авг. 2018

Источник: fstec

CVSS3: 7.3

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость утилиты удалённого выполнения плагинов Nagios Remote Plugin Executor (NRPE) связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

АО «ИВК»

Nagios Enterprises LLC

Наименование ПО

Альт 8 СП Рабочая станция

Remote Plugin Executor

nagios-nrpe

Версия ПО

- (Альт 8 СП Рабочая станция)

до 2.15 включительно (Remote Plugin Executor)

до 3.2.1-alt2.M80C.2 (nagios-nrpe)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)

Возможные меры по устранению уязвимости

Обновление Nagios Remote Plugin Executor до актуальной версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2913
CVE

EPSS

Процентиль: 94%

0.14237

Средний

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2014-2913

ubuntu

почти 12 лет назад

Incomplete blacklist vulnerability in nrpe.c in Nagios Remote Plugin Executor (NRPE) 2.15 and earlier allows remote attackers to execute arbitrary commands via a newline character in the -a option to libexec/check_nrpe. NOTE: this issue is disputed by multiple parties. It has been reported that the vendor allows newlines as "expected behavior." Also, this issue can only occur when the administrator enables the "dont_blame_nrpe" option in nrpe.conf despite the "HIGH security risk" warning within the comments