ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
برنامج Network UPS Tools هو مجموعة من البرامج التي توفر واجهة مشتركة لمراقبة وإدارة أجهزة UPS وPDU وSCD. من الإصدار 2.8.3 إلى 2.8.5، يقوم upsmon في الملف clients/upsmon.c بإدراج قيمة ups.alarm المقدمة من الخادم في أوامر الصدفة التي تنفذها الدوال notify() وasync_notify() وwall(). عندما يبلغ الجهاز المراقب عن حالة ALARM ويقوم المشغل بتكوين NOTIFYCMD باستخدام EXEC في NOTIFYFLAG ALARM، يتم تقييم محارف الصدفة الوصفية في نص الإنذار على POSIX أو Windows ويمكنها تنفيذ أوامر عشوائية لنظام التشغيل بصفتها حساب upsmon، والذي يكون عادةً root. يمكن للمهاجم التحكم في القيمة من خلال برنامج upsd ضار أو مخترق، أو هجوم رجل في المنتصف على اتصال نصي صريح بين upsd وupsmon، أو جهاز UPS مخترق يزوِّد برنامجه التشغيلي الإنذار إلى أعلى المنبع من upsd؛ ولا تُخفِّف طبقة TLS بين upsd وupsmon مسار الجهاز المخترق. تم إصلاح هذه الثغرة في الإصدار 2.8.6.
المعالجة
المراجع
- مرجعhttps://github.com/networkupstools/nut/security/advisories/GHSA-mjgp-j4gm-6qg5
- مرجعhttps://github.com/networkupstools/nut/pull/3499
- مرجعhttps://github.com/networkupstools/nut/commit/98e073d4cc31f9c73e2fa0c2677540487d902fe7
- مرجعhttps://github.com/networkupstools/nut/commit/dffba911504866695be698bb5ec49eac40d0f66a
- مرجعhttps://github.com/networkupstools/nut/commit/ecf98e7542e4ae2b62b211622ee26989274b2220