Nagios’un iLO Eklentisinde Zafiyeti (CVE-2020-7206)

Ağları ve altyapıları monitoring etmek için en çok kullanılan Open-Source kaynakların başında gelen Nagios’un HPe sunucularında ki iLO için kullanılan modülde PHP Code Injection zafiyeti tespit edildi.

Bu zafiyet sayesinde saldırgan, uzaktan kod çalıştırabilmektedir. Durum, nagios-plugins-hpilo v1.50 ve öncesinde geçerli.

Zafiyetin derecelendirmesi daha gerçekleşmese de action-url/nagios_hpeilo_service_details.php dosyasına ufak bir müdahale ile sorun çözülüyor. Bunun için ilgili PHP dosyasını açarak, <php> kodları arasında ki 25. satırı değiştirmeni gerekmektedir.

<?php
        $ip=$_GET["ip"];
        $comm=$_GET["comm"];
        $id=$_GET["id"];
        $cmd="./nagios_hpeilo_engine -H $ip -C $comm -o $id -J"; //KALDIRILACAK
        $cmd=escapeshellcmd("./nagios_hpeilo_engine -H $ip -C $comm -o $id -J"); //KALDIRILAN SATIR YERİNE EKLENECEK
        $ret = exec($cmd,$output);
        echo join("\n",$output);
?>

GIT’te yayınlanan çözüm için;

https://github.com/HewlettPackard/nagios-plugins-hpilo/commit/7617b2736a95c7f354198f092febe37e7005c677#diff-8776dd2cb7aa5394b4f1f9e5838f4d51