Vulnerability Details : CVE-2013-7108
Multiple off-by-one errors in Nagios Core 3.5.1, 4.0.2, and earlier, and Icinga before 1.8.5, 1.9 before 1.9.4, and 1.10 before 1.10.2 allow remote authenticated users to obtain sensitive information from process memory or cause a denial of service (crash) via a long string in the last key value in the variable list to the process_cgivars function in (1) avail.c, (2) cmd.c, (3) config.c, (4) extinfo.c, (5) histogram.c, (6) notifications.c, (7) outages.c, (8) status.c, (9) statusmap.c, (10) summary.c, and (11) trends.c in cgi/, which triggers a heap-based buffer over-read.
Vulnerability category: Input validationDenial of service
Exploit prediction scoring system (EPSS) score for CVE-2013-7108
Probability of exploitation activity in the next 30 days: 94.13%
Percentile, the proportion of vulnerabilities that are scored at or less: ~ 99 % EPSS Score History EPSS FAQ
CVSS scores for CVE-2013-7108
| Base Score | Base Severity | CVSS Vector | Exploitability Score | Impact Score | Score Source |
|---|---|---|---|---|---|
|
5.5
|
MEDIUM | AV:N/AC:L/Au:S/C:P/I:N/A:P |
8.0
|
4.9
|
NIST |
CWE ids for CVE-2013-7108
-
The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.Assigned by: nvd@nist.gov (Primary)
References for CVE-2013-7108
-
http://lists.opensuse.org/opensuse-updates/2014-01/msg00068.html
openSUSE-SU-2014:0097-1: moderate: update for icinga
- https://www.icinga.org/2013/12/17/icinga-security-releases-1-10-2-1-9-4-1-8-5/
-
https://lists.debian.org/debian-lts-announce/2018/12/msg00014.html
[SECURITY] [DLA 1615-1] nagios3 security update
-
http://sourceforge.net/p/nagios/nagioscore/ci/d97e03f32741a7d851826b03ed73ff4c9612a866/
Nagios Core / Nagios Core / Commit [d97e03]
-
http://www.mandriva.com/security/advisories?name=MDVSA-2014:004
mandriva.com
-
http://lists.opensuse.org/opensuse-updates/2014-01/msg00046.html
openSUSE-SU-2014:0069-1: moderate: update for icinga
-
http://lists.opensuse.org/opensuse-updates/2014-01/msg00028.html
openSUSE-SU-2014:0039-1: moderate: nagios: fixed a denial of service in
-
http://www.securityfocus.com/bid/64363
Icinga Web GUI CVE-2013-7108 Multiple Off-By-One Memory Corruption Vulnerabilities
-
http://lists.opensuse.org/opensuse-updates/2014-01/msg00010.html
openSUSE-SU-2014:0016-1: moderate: nagios: fixed a denial of service in
-
http://www.openwall.com/lists/oss-security/2013/12/24/1
oss-security - Re: CVE request: denial of service in Nagios (process_cgivars())
-
https://dev.icinga.org/issues/5251
Vendor Advisory
Products affected by CVE-2013-7108
- cpe:2.3:a:nagios:nagios:*:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:rc3:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta6:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta7:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:rc2:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:rc1:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta1:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:alpha4:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:alpha3:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.2:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.1:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta4:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta5:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.3:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta2:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:beta3:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:alpha2:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:alpha1:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.4:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.6:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0.5:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.1.2:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.1.0:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.1.1:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.2.2:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.2.1:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.2.0:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.2.3:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.4.0:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.3.1:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.0:alpha5:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.4.2:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.4.1:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.4.3:*:*:*:*:*:*:*
- cpe:2.3:a:nagios:nagios:3.5.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:*:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.3.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.0.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:0.8.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:0.8.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.3.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.0.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.0:rc1:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:0.8.4:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.0.3:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.2.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.2.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:0.8.3:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:0.8.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.7.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.7.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.6.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.7.3:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.6.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.8.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.8.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.8.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.7.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.8.3:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.10.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.10.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.4.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.7.4:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.6.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.9.0:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.9.1:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.9.2:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.9.3:*:*:*:*:*:*:*
- cpe:2.3:a:icinga:icinga:1.4.0:*:*:*:*:*:*:*