miércoles, 19 de diciembre de 2012

Desbordamiento de búfer en Nagios

Se ha anunciado una vulnerabilidad en Nagios 3.4.3, que podría permitir a un atacante remoto comprometer los sistemas afectados.

Nagios es un sistema de monitorización redes, que mantiene una vigilancia tanto del hardware de los equipos como del software instalado en ellos, avisando ante cualquier cambio, intrusión, escasez de recursos, etc. a través de diferentes medios como pueden ser el email y los SMS.

El problema reside en un desbordamiento de búfer (basado en pila) en "history.cgi" por el uso de sprintf con datos suministrados por el usuario sin haberlos restringido previamente en su tamaño. Concretamente se ve afectado el parámetro "host" y podría llegar a explotarse de forma remota a través de una simple URL y permitiría la ejecución de código arbitrario.

Hasta el momento no se ha publicado ninguna actualización oficial.

Más información:

[Full-disclosure] Nagios Core 3.4.3: Stack based buffer overflow in web interface
  

Antonio Ropero
Twitter: @aropero 

No hay comentarios:

Publicar un comentario en la entrada