Потенциальное удаленное выполнение на Агентах с открытым веб-портом (19999)
- investigating
Уязвимость в Netdata Agent была раскрыта. Злоумышленник, имеющий доступ к локальному веб-порту (19999) или облачному пространству Netdata, может выполнять произвольные команды в качестве пользователя «сетевых данных». Полная информация об уязвимости приведена в раскрытии здесь: https://codeberg.org/x509dot/vulns/src/branch/main/netdata-rce.md. Мы исправили проблему и создали новую конструкцию Агента (https://github.com/netdata/netdata-nightlies/releases/tag/v2.12.0-267-nightly) и вскоре должен быть опубликован новый патч-релиз v2.12.2 для нашего стабильного канала. Мы обновим этот инцидент, когда эта сборка будет опубликована. Ограничение доступа к веб-порту Агента снижает возможность злоумышленника использовать эту уязвимость. Инструкции по обеспечению безопасности Агентов можно найти здесь: https://learn.netdata.cloud/docs/netdata-agent/configuration/securing-agents, с серверными подходами, включая привязку порта к локальному хосту, требование токенов на предъявителя или полное отключение веб-порта. Родительские агенты, однако, требуют, чтобы их веб-порт оставался доступным для потоковой передачи. Списки доступа могут использоваться для ограничения доступа: https://learn.netdata.cloud/docs/netdata-agent/configuration/securing-agents/web-server-reference#access-lists Доказательства компромисса можно найти с помощью этого скрипта: https://gist.github.com/ktsaou/b3fcf41c8ce0a01effb6df9d82a14858
- identified
Этот вопрос был определен, и в настоящее время осуществляется исправление.
- monitoring
Выпуск исправления версии 2.12.2 был опубликован на канале стабильного выпуска с исправлением проблемы.
Автоматический перевод официального обновления инцидента.