Trusted Design

解説:

CVE-2021-25296について、以下の観点で解説します。

1. 脆弱性の概要

Nagios XIに存在するOSコマンドインジェクションの脆弱性です。認証されたユーザーが制御可能な入力の不適切なサニタイズにより、攻撃者がNagios XIサーバー上でOSコマンドを挿入し、実行できる可能性があります。

1.1 影響

本脆弱性が悪用されると、Apacheユーザーの権限で任意のOSコマンドが実行されます。 実際に、この脆弱性を悪用してXMRigコインマイナーを展開するクリプトジャッキング攻撃が観測されています。 侵害されたデバイスではパフォーマンスの低下が発生する可能性があり、攻撃者がオンラインでスクリプトを変更し、さらなるセキュリティ上の影響を引き起こす可能性もあります。

1.2 深刻度

深刻度は「高 (High)」と評価されています。 また、CISAの「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に掲載されており、活発な悪用が確認されている脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はNagios XIソフトウェア自体に存在します。影響を受けるNagios XIのバージョンは以下の通りです。

• Nagios XI バージョン 5.5.6 から 5.7.5

2.2 影響を受ける設定

本脆弱性は、Nagios XIの「Configuration Wizard: Windows Management Instrumentation (WMI)」機能内のファイル /usr/local/nagiosxi/html/includes/configwizards/windowswmi/windowswmi.inc.php に存在します。 脆弱性の悪用には、認証されたユーザーによる入力が必要です。

3. 影響を受けた時の兆候

• XMRigコインマイナーが展開されている。
• 侵害されたデバイスのパフォーマンスが低下している。
• クリプトジャッキング関連のスクリプト（例: systemd-py-run.sh、systemd-run.py、systemd-udevd-run.sh、systemd-udevd.sh、workrun.sh、systemd-dev）に関連するプロセスが実行されている。
• /usr/lib/dev および /tmp/usr/lib フォルダ内に疑わしいファイルが存在する。

4. 推奨対策

4.1 本対策

• Nagios XIを最新バージョンにアップグレードする。 具体的には、Nagios XI 5.8.0以降へのアップグレードが推奨されます。
• 管理画面の「Admin > Manage Config Wizards」から「Windows WMI config wizard」をバージョン2.2.3以降に更新する。

4.2 暫定回避策（緩和策）

• Nagios XIをアップグレードできない場合、/usr/local/nagiosxi/html/includes/configwizards/windowswmi/windowswmi.inc.php ファイルを更新する。
• 可能であれば、Nagios XIをインターネットに公開しないようにする。

参照したサイト

• CVE-2021-25296 Detail - NVD
• CVE-2021-25296 - CVE Record
• Command Injection CVE-2021-25296: A Deep Dive - Fastly
• Are Your Nagios XI Servers Turning Into Cryptocurrency Miners for Attackers? - Unit 42
• Nagios XI Security Disclosures
• CVE-2021-25296 — CISA KEV - Cyber Trackr!
• Attack: Nagios XI Command Injection CVE-2021-25296 - Broadcom Inc.
• Attack: Nagios XI Command Injection CVE-2021-25296 - Broadcom Inc.
• 共通脆弱性識別子（CVE）の理解 - SentinelOne