برنامه‌ی Nagios Core یک ابزار رایگان و متن‌باز برای هشدار و نظارت بر روی کارگزارها، شبکه‌ها و برنامه‌های کاربردی است. دیوید گلونسکی از گروه نفوذگران قانونی، دو آسیب‌پذیری در این برنامه را کشف کرد که با استفاده از آن می‌توان حملات اجرای کد از راه دور و ارتقاء امتیاز انجام داد.

اولین آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۶-۹۵۶۵، یک اشکال اجرای کد از راه دور است. گلونسکی اعلام کرد رابط وب این برنامه تحت تأثیر آسیب‌پذیری قرار گرفته و مهاجم با ویژگی RSS در یک حمله‌ی مرد میانی می‌تواند از آن بهره‌برداری کند.

به گفته‌ی این محقق امنیتی، اگر مهاجم بتواند با استفاده از روش‌های مسمومیت DNS، دامنه‌ربایی و یا سایر روش‌ها خود را بجای کارگزار RSS جا بزند، می‌تواند بر روی کارگزار آسیب‌پذیر، پرونده‌های دلخواه را بخواند و بنویسد و تحت عنوان کاربر Nagios کد دلخواه خود را اجرا کند.

وقتی مهاجم به این سطح از دسترسی رسید، می‌تواند از آسیب‌پذیری دوم با شناسه‌ی CVE-۲۰۱۶-۹۵۶۶ بهره‌برداری کرده و امتیازات خود را تا حد کاربر ریشه ارتقاء دهد. در نتیجه‌ی این بهره‌برداری‌ها، کل سامانه آلوده شده و کنترل آن در دست مهاجم خواهد بود.

آسیب‌پذیری دوم به نحوه‌ی مدیریت پرونده‌های ثبت‌ رویداد۱ توسط دایمون Nagios Core برمی‌گردد. مهاجمی که بتواند با بهره‌برداری از آسیب‌پذیری CVE-۲۰۱۶-۹۵۶۶ به سامانه دسترسی داشته باشد، می‌تواند پرونده‌های ثبت رویداد را ویرایش کرده و در آن پرونده‌های مخرب قرار دهد. در نتیجه پس از شروع مجدد Negios، امتیازات مهاجم ارتقاء خواهد یافت. گلونسکی اشاره کرد، مهاجم می‌تواند با اجرای دستور SHUTDOWN_PROGRAM قربانی را مجبور به راه‌اندازی مجدد برنامه بکند.

آسیب‌پذیری اول (اجرای کد از راه دور) در مرداد ماه با انتشار Nagios Core ۴.۲.۰ وصله شد اما بعداً مشخص شد که این وصله ناقص بوده است. در تاریخ ۳ آبان یک وصله‌ی مناسب با انتشار نسخه‌ی ۴.۲.۲ ارائه شد. آسیب‌پذیری دوم نیز اوایل این ماه در نسخه‌ی ۴.۲.۴ وصله شد. یک بهره‌برداری اثبات مفهومی نیز برای این دو آسیب‌پذیری به‌طور عمومی منتشر شده است.

این اولین بار نیست که گلونسکی آسیب‌پذیری‌های مهمی را کشف کرده که می‌تواند در سطح بالا مورد بهره‌برداری قرار بگیرد. اخیراً این محقق امنیتی چند آسیب‌پذیری اجرای کد از راه دور و ارتقاء امتیاز در MySQL را نیز کشف کرده بود.