🇰🇷 한글 설명
Nagios Log Server 2026R1.0.1 미만 버전의 실험적 'Natural Language Queries' 기능에서 인증된 사용자가 명령을 주입할 수 있는 취약점이 발견되었습니다. 공격자는 글로벌 설정 페이지를 통해 모델 선택 및 연결 매개변수에 조작된 값을 입력하여 shell_exec() 함수를 통해 임의의 쉘 명령을 실행할 수 있습니다.
💡 쉬운 설명
로그 서버의 특정 설정 메뉴에 악의적인 명령어를 입력하여 서버를 마음대로 조종할 수 있는 보안 약점입니다. 권한이 있는 사용자가 설정을 조작하면 서버의 제어권을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Nagios Log Server versions prior to 2026R1.0.1 contain an authenticated command injection vulnerability in the experimental 'Natural Language Queries' feature. When this feature is configured, certain user-controlled settings—including model selection and connection parameters—are read from the global configuration and concatenated into a shell command that is executed via shell_exec() without proper input handling or command-line argument sanitation. An authenticated user with access to the 'Global Settings' page can supply crafted values in these fields to inject additional shell commands, resulting in arbitrary command execution as the 'www-data' user and compromise of the Log Server host.
📍 영향받는 시스템
Nagios Log Server versions prior to 2026R1.0.1
⚔️ 공격 벡터
인증된 사용자가 글로벌 설정 페이지의 특정 필드에 조작된 값을 입력하여 명령 주입
🛡️ 대응 방법
Nagios Log Server를 2026R1.0.1 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 2026R1.0.1보다 낮은지 확인하십시오.
rpm -q nagios-log-server || dpkg -l | grep nagios-log-server