【CVE-2024-50350】LibreNMSにStoredタイプのXSS脆弱性、Port Settings画面での不正なJavaScript実行が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
LibreNMSバージョン24.10.0未満のXSS脆弱性
LibreNMSの脆弱性情報まとめ
Stored XSS（クロスサイトスクリプティング）について
LibreNMSのXSS脆弱性に関する考察
参考サイト

記事の要約

LibreNMSにStoredタイプのXSS脆弱性を確認
Port Settings画面で任意のJavaScript実行が可能
バージョン24.10.0で修正完了

LibreNMSバージョン24.10.0未満のXSS脆弱性

オープンソースのネットワーク監視システムLibreNMSにおいて、Port Settings画面でのPort Group作成時に認証済みユーザーがnameパラメータを介して任意のJavaScriptを挿入できる脆弱性が発見された。この脆弱性は【CVE-2024-50350】として識別されており、影響を受けるバージョンは24.10.0未満のすべてのバージョンとなっている。^[1]

この脆弱性を悪用されると、Port Settings画面を訪問したユーザーのセッションが不正に利用され、許可されていない操作が実行される可能性がある。LibreNMSの開発チームは迅速に対応し、バージョン24.10.0でこの脆弱性に対する修正を実施したのだ。

GitHubのセキュリティアドバイザリによると、この脆弱性のCVSSスコアは4.8（MEDIUM）と評価されている。攻撃者は高い特権レベルと利用者の関与が必要となるが、影響の想定範囲に変更があるとされ、機密性と整合性への影響が懸念される状況だ。

LibreNMSの脆弱性情報まとめ

項目	詳細
CVE番号	CVE-2024-50350
影響を受けるバージョン	24.10.0未満
脆弱性の種類	Stored XSS（クロスサイトスクリプティング）
CVSSスコア	4.8（MEDIUM）
修正バージョン	24.10.0
攻撃条件	認証済みユーザー、Port Settings画面でのPort Group作成時

GitHubセキュリティアドバイザリの詳細はこちら

Stored XSS（クロスサイトスクリプティング）について

Stored XSSとは、Webアプリケーションの脆弱性の一種で、攻撃者が悪意のあるスクリプトをサーバーに保存し、他のユーザーがそのページを訪問した際にスクリプトが実行される攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

永続的な攻撃が可能で影響範囲が広い
データベースやファイルシステムに悪意のあるコードが保存される
複数のユーザーに影響を与える可能性が高い

LibreNMSで発見された脆弱性では、Port Settings画面のnameパラメータにJavaScriptコードを挿入することで、そのPort Groupが追加されたデバイスのページを訪問したユーザーのブラウザ上でスクリプトが実行される。この攻撃によってユーザーセッションの窃取や不正な操作の実行が可能となるため、早急な対応が必要だ。

LibreNMSのXSS脆弱性に関する考察

LibreNMSの開発チームが迅速に脆弱性に対応し、修正版をリリースしたことは評価できる点である。特にネットワーク監視システムという重要なインフラストラクチャに関わるソフトウェアにおいて、セキュリティ上の問題に素早く対処できる体制が整っていることは、ユーザーにとって大きな安心材料となるだろう。

今後の課題として、入力値のバリデーションとサニタイズ処理の強化が挙げられる。Port GroupのnameパラメータのようなユーザーからのHTML入力を許可する機能においては、より厳密な入力チェックとエスケープ処理が必要となることが予想されるため、開発チームにはセキュリティ面での一層の強化が期待される。

将来的には、セキュリティスキャンやペネトレーションテストの定期的な実施による脆弱性の早期発見体制の確立も重要だ。また、GitHubのセキュリティアドバイザリを通じた情報開示の透明性を維持しつつ、ユーザーへの迅速な情報提供と更新案内の体制をさらに強化することが望まれる。