Nagios XI 5.7.5 원격 OS 명령 주입 취약점 (CVE-2021-25298) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTNagios XI 버전 5.7.5
인증된 공격자가 단일 HTTP 요청을 통해 Nagios XI 서버에서 임의의 OS 명령을 실행하고 시스템 권한을 완전히 장악할 수 있습니다.
취약점이 해결된 최신 버전(5.8.0 이상)으로 즉시 업그레이드하고, 패치 적용 전까지 해당 구성 마법사 파일을 비활성화하거나 접근을 제한하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Nagios XI 공식 제조사에서 제공하는 최신 안정화 버전(5.8.0 이상)으로 업그레이드를 수행하십시오. 아래 명령어를 통해 업그레이드 스크립트를 다운로드하고 실행할 수 있습니다.
# Nagios XI 서버에 root 권한으로 접속 후 업그레이드 진행
cd /tmp
wget https://assets.nagios.com/downloads/nagiosxi/xi-latest.tar.gz
tar xzf xi-latest.tar.gz
cd nagiosxi
./upgrade2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 취약한 cloud-vm 구성 마법사 디렉터리를 백업 후 제거하거나 웹 서버 권한의 실행을 차단하여 임시 조치할 수 있습니다.
# 취약한 cloud-vm 구성 마법사 디렉터리 백업 및 제거
mv /usr/local/nagiosxi/html/includes/configwizards/cloud-vm /usr/local/nagiosxi/html/includes/configwizards/cloud-vm.bak
# Nagios XI 웹 콘솔에 대한 접근을 신뢰할 수 있는 IP 대역으로만 제한 (Nginx/Apache 설정 예시)
# Apache 설정 파일 (/etc/httpd/conf.d/nagiosxi.conf 등)에 아래 규칙 적용
<Directory '/usr/local/nagiosxi/html'>
Require ip 10.0.0.0/8 192.168.0.0/16
</Directory>3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
웹 서버 액세스 로그에서 cloud-vm.inc.php 또는 관련 마법사 경로를 호출하면서 비정상적인 특수문자가 포함된 요청이 있는지 점검하십시오.
# Apache 액세스 로그에서 cloud-vm 마법사 호출 및 명령 주입 시도 흔적 검색
grep -i 'cloud-vm' /var/log/httpd/access_log | grep -E '(%3B|%26|%7C|;|\&|\|)'
# 현재 설치된 Nagios XI 버전 확인
grep 'product_version' /usr/local/nagiosxi/html/config.inc.php코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2021-25298)은 네트워크 및 인프라 모니터링 솔루션인 Nagios XI 5.7.5 버전의 특정 구성 마법사(Configuration Wizard) 스크립트에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 구체적으로 /usr/local/nagiosxi/html/includes/configwizards/cloud-vm/cloud-vm.inc.php 파일 내에서 사용자로부터 입력받은 매개변수를 적절한 검증 및 필터링(Sanitization) 없이 시스템 셸 명령의 인자로 직접 전달하기 때문에 발생합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 Nagios XI 웹 인터페이스에 로그인할 수 있는 유효한 계정(낮은 권한 포함)을 보유해야 합니다. 인증을 획득한 공격자는 cloud-vm 구성 마법사를 호출하는 과정에서, 셸 메타문자(예: ;, &, |, ` `)가 포함된 악의적인 입력값을 단일 HTTP POST/GET 요청에 실어 전송합니다. 서버 측 PHP 스크립트는 이 입력을 그대로 시스템 명령 실행 함수(예: exec, system, shell_exec)에 전달하여 실행하므로, 공격자가 의도한 임의의 OS 명령이 Nagios XI 서버의 웹 서버 권한(일반적으로 apache 또는 nagios`)으로 실행됩니다.
3. 비즈니스 및 인프라 파급 영향
Nagios XI는 기업 내부망의 핵심 서버, 네트워크 장비, 클라우드 인프라를 모니터링하는 중앙 집중식 플랫폼입니다. 이 서버가 장악될 경우, 공격자는 모니터링 대상 장비들의 자격 증명(Credentials) 및 네트워크 토폴로지 정보를 탈취할 수 있습니다. 또한, 내부망 침투를 위한 거점으로 활용되거나 랜섬웨어 유포, 데이터 유출 등 심각한 비즈니스 중단 사태로 이어질 수 있습니다. 본 취약점은 CISA KEV(알려진 악용 취약점 목록)에 등재되어 있으며 EPSS 점수가 매우 높아 실제 공격에 적극적으로 악용되고 있습니다.
공식 보안 권고문 및 참조 링크
Nagios XI version xi-5.7.5 is affected by OS command injection. The vulnerability exists in the file /usr/local/nagiosxi/html/includes/configwizards/cloud-vm/cloud-vm.inc.php due to improper sanitization of authenticated user-controlled input by a single HTTP request, which can lead to OS command injection on the Nagios XI server.
자주 묻는 실무 질문 (FAQ — CVE-2021-25298)
FAQQ1. CVE-2021-25298 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2021-25298의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 73.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2021-25298에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 nagios이며, 대상 컴포넌트는 nagios_xi입니다. 상세 영향 범위: Nagios XI 버전 5.7.5 (cloud-vm 구성 마법사가 활성화된 환경)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 취약점이 해결된 최신 버전(5.8.0 이상)으로 즉시 업그레이드하고, 패치 적용 전까지 해당 구성 마법사 파일을 비활성화하거나 접근을 제한하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2021-25298 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (nagios)
동일 카테고리 전체 보기 →LiteLLM 프록시 서버 MCP 테스트 엔드포인트 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-42271)
[영향 대상] LiteLLM 버전 1.74.2 이상 1.83.7 미만 버전을 사용하는 AI 게이트웨이 및 프록시 서버 환경
Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
Nextcloud Collabora Online Built-in CODE Server 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-110447)
[영향 대상] Nextcloud에 설치된 Collabora Online Built-in CODE Server (richdocumentscode) 26.4.303 미만 버전
Zimbra Collaboration Suite (ZCS) 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-73570, CISA KEV 등재)
[영향 대상] zimbra-snmp 패키지가 설치되어 있고 SNMP 알림 기능이 활성화된 Zimbra Collaboration (ZCS) 10.1.20 미만 버전.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.