🇰🇷 한글 설명
Nagios Log Server 2024R2.0.2 미만 버전의 AD/LDAP 사용자 가져오기 기능에서 비밀번호 필드가 마스킹 처리되지 않는 취약점이 발견되었습니다. 이로 인해 가져온 계정의 평문 비밀번호가 사용자 인터페이스, 로그 또는 진단 출력물에 노출될 수 있습니다. 이는 관리자나 가져오기 결과에 접근할 수 있는 사용자에게 민감한 자격 증명이 유출될 위험을 초래합니다.
💡 쉬운 설명
사용자 정보를 불러올 때 비밀번호가 암호화되지 않고 그대로 화면이나 기록에 남는 문제입니다. 이로 인해 시스템 관리자나 로그를 볼 수 있는 사람이 다른 사용자의 비밀번호를 쉽게 알 수 있게 됩니다.
🇺🇸 원문 (English)
Nagios Log Server versions prior to 2024R2.0.2 contain a vulnerability in the AD/LDAP user import functionality as it fails to obfuscate the password field during import. As a result, the plaintext password supplied for imported accounts may be exposed in the user interface, logs, or other diagnostic output. This can leak sensitive credentials to administrators or anyone with access to import results.
📍 영향받는 시스템
Nagios Log Server versions prior to 2024R2.0.2
⚔️ 공격 벡터
AD/LDAP 사용자 가져오기 기능을 실행한 후 생성된 로그나 UI 결과물을 확인하여 평문 비밀번호 탈취
🛡️ 대응 방법
Nagios Log Server를 2024R2.0.2 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전을 확인하여 2024R2.0.2 미만인지 확인하십시오.
rpm -q nagios-log-server 2>/dev/null || dpkg -l | grep nagios-log-server