Nokia MantaRay NM 中存在操作系统命令注入 (OS Command Injection) 漏洞

Nokia MantaRay NM 中的 CVE-2025-24818 存在一个重大的风险，原因是存在操作系统命令注入漏洞。此缺陷位于 Log Search 应用程序中，其中在操作系统命令中使用的特殊字符未得到适当的中和。攻击者可能利用此漏洞在底层系统上执行任意命令，从而可能危及数据和服务的机密性、完整性和可用性。此漏洞的严重程度需要立即关注，尤其是在 Log Search 应用程序用于关键监控和故障排除的环境中。缺少 KEV（知识工程向量）表明有关漏洞的信息相对较新，并且在完整评估可用之前可能存在被利用的风险。

Organizations utilizing Nokia MantaRay NM in their network management infrastructure are at risk, particularly those running versions 1.0.0 and earlier. Environments where the Log Search application is exposed to external users or untrusted networks face a heightened risk of exploitation. Shared hosting environments utilizing vulnerable MantaRay NM instances are also particularly susceptible.

• linux / server:

journalctl -u manta-ray-nm | grep -i "command injection"

• linux / server:

ps aux | grep -i "log search" | grep -i "command injection"

• generic web: Use curl or wget to test the Log Search endpoint with potentially malicious input (e.g., ; ls -l). Monitor access logs for suspicious requests containing command injection attempts.

1. 2026-04-07Disclosure

   disclosure

1. 已保留2025-01-24
2. 发布日期2026-04-07
3. EPSS 更新日期2026-04-15

Nokia 已发布 25R1-NM 版本以减轻 CVE-2025-24818。强烈建议所有 MantaRay NM 用户尽快升级到此版本。此更新修复了 Log Search 应用程序中特殊字符中和方面的缺陷，从而防止了操作系统命令注入。除了升级之外，还应审查 Log Search 应用程序的安全配置，以确保应用了最小权限原则，并且用户权限限制在严格必要范围内。监控系统日志是否存在可疑活动也有助于检测和响应潜在的利用尝试。