Centreon Issues Critical Security Update: SQL Injection Vulnerabilities Threaten IT Monitoring
2024/08/26 SecurityOnline — OSS として提供され、広く利用されている監視ソリューション Centreon Web インターフェイスに、複数の SQL インジェクション脆弱性が存在することが判明した。それらの脆弱性である CVE-2024-32501／CVE-2024-33852／CVE-2024-33853／CVE-2024-33854／CVE-2024-5725／CVE-2024-39841 が悪用されると、IT インフラ監視を Centreon に依存している組織にとって深刻なリスクが生じる。一連の脆弱性における CVSS スコアは 8.8〜 9.1 と高いため、パッチ適用を急ぐ必要がある。
Centreon Web は、Centreon プラットフォームを通じて管理者と運用者が、IT インフラの管理／監視をする際の中心的なハブとして機能するものだ。しかし、これらの SQL インジェクション脆弱性の発見により、Centreon Web の全オンプレミス・バージョンが潜在的な悪用にさらされることになった。
- CVE-2024-32501：updateServiceHost 関数における SQL インジェクション脆弱性。
- CVE-2024-33852 (CVSS 9.1)：Downtime コンポーネントの SQL インジェクション。攻撃者がデータベースを操作することで機密情報の流出にいたる。
- CVE-2024-33853 (CVSS 9.1)：Timeperiod コンポーネントの SQL インジェクション。データベースが侵害される可能性がある。
- CVE-2024-33854：Graph Template コンポーネントの SQL インジェクション。データの整合性に重大な脅威が生じる。
- CVE-2024-5725 (CVSS 8.8)：Metric Image コンポーネントの SQL インジェクション。データベースへの不正アクセスが可能になる。
- CVE-2024-39841 (CVSS 8.8)：サービス・コンフィグを介した SQL インジェクション。攻撃者による Centreon Web システムの制御が可能になる。
これらの脆弱性が悪用された事例について、Centreon は認識していないという。しかし、Centreon Web のインスタンスがインターネットに公開されている場合には、悪用の可能性が高くなる。攻撃が成功した場合の影響は深刻であり、機密データへの不正アクセス／データベースの破損などに加えて、システム全体への侵害が生じる可能性がある。
Centreon Web における、すべてのオンプレミス・バージョンは、これらの SQL インジェクション攻撃に対して脆弱である。一連の脆弱性は、Centreon Web のコア・コンポーネントに影響を与えるため、すべてのユーザーにとって迅速な対処が必要となる。
すでに Centreon は、これらの重大な脆弱性に対処するために、すべての Centreon Web バージョンのアップデートをリリースしている。累積的な修正を含む推奨バージョンは、次のとおりである:
- Centreon Web 24.04.3
- Centreon Web 23.10.13
- Centreon Web 23.04.19
- Centreon Web 22.10.23
サポートが終了しているバージョンの、Centreon Web を実行しているユーザーに対しては、バージョン 24.04 へとアップグレードし、システムを確実に保護することが強く推奨される。なお、Centreon Cloud プラットフォームは、既に更新されている。
このブログでは初登場の Centreon です。同社の Web ページには、「2005 年に設立された当社は、インフラ／スネットワークなどのモニタリングにおいて 18年にわたる独自の専門知識を有している。OSS のパイオニアであり、ヨーロッパのリーダーである当社は、グローバル SaaS エコシステムの主要プレーヤーとなっている」と記されていました。
IoT OT Security News 
You must be logged in to post a comment.