Pandora FMS の緊急アップデート：CVE-2024-35307 などが FIX

Pandora FMS Reveals High-Risk Security Flaws Affecting 50,000+ Installations

2024/06/17 SecurityOnline — 全世界で 50,000以上のインストール実績を持つ、OSS モニタリング・アプリケーション Pandora FMS が公開したセキュリティ・アドバイザリは、同製品のバージョン 700 〜777 未満に存在する複数の脆弱性に関するものだ。これらの脆弱性が悪用されると、システム・コマンド・インジェクション／SQL インジェクション／リモート・コード実行などの重大なリスクが生じる可能性がある。

2004年に設立された Pandora FMS は、ネットワーク／アプリケーション／サーバなどの、さまざまなインフラ要素の監視を統合する、包括的な監視ソリューションへと成長した。ログ／WMI／ネットフロー／SNMPトラップなどの、特定のデータソースの監視機能により、世界中の企業で愛用されている。

CVE-2024-35304 〜 CVE-2024-35307 を割り当てられた４件の脆弱性は、Pandora FMS のバージョン 700〜776 に影響を及ぼすものだ。

• CVE-2024-35304 (CVSSv4：9.3) この脆弱性は、Netflow 機能を経由したシステム・コマンド・インジェクションに関連するものだ。この、不適切な入力検証の脆弱性の悪用に成功した攻撃者は、任意のシステム・コマンドを実行する可能性を手にする。この脆弱性に付けられた高い深刻度は、潜在的な悪用を防ぐために、早急な修正が必要であることを強調している。
• CVE-2024-35305 (CVSSv4：8.9) この脆弱性は、HTTP リクエストの Authorization ヘッダを通して悪用される可能性があるものだ。不正アクセスや潜在的なデータ漏洩につながる可能性があり、厳格な入力検証と安全なコーディングの実践の重要性が浮き彫りになっている。
• CVE-2024-35306 (CVSSv4：8.7) この OS コマンド・インジェクションの脆弱性は、HTTP リクエスト経由の Ajax PHP ファイルに存在する。この脆弱性の悪用に成功した攻撃者は、変数を悪用してシステム・コマンドを実行し、影響を受けるシステムの完全性とセキュリティに重大な脅威をもたらす可能性を持つ。
• CVE-2024-35307 (CVSSv4：9.4) 今回に対処された脆弱性の中で、最も深刻度が高いものである。この、Realtime Graph Extension に存在する引数インジェクションの脆弱性は、リモート・コード実行へとつながる可能性を持つ。この脆弱性の悪用に成功した未認証の攻撃者は、サーバ上で任意のコードを実行し、システムの完全な侵害を引き起こす可能性を手にする。

すれに Pandora FMS は、一連の脆弱性を修正したバージョン 777 をリリースしている。潜在的な攻撃から身を守るために、直ちにアップグレードすることが強く推奨される。

Pandora FMS を検索してみたら、日本語のコミュニティ・ページがありました。日本国内にも大勢のユーザーがいて、頼りにされている OSS プロダクトなのですね。ご利用のチームは、お気をつけください。よろしければ、カテゴリ Open Source も、ご利用ください。