CVE-2023-53688
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) oraz cross-site request forgery (CSRF) poprzez komponent Hypermap Replay. Atakujący może przesłać spreparowane dane wejściowe, które nie są prawidłowo walidowane ani escapowane, co pozwala na wstrzyknięcie złośliwego skryptu wykonującego się w kontekście przeglądarki ofiary (XSS). Dodatkowo komponent nie wymusza wystarczających zabezpieczeń anti-CSRF na operacjach zmieniających stan, umożliwiając atakującemu nakłonienie uwierzytelnionych użytkowników do wykonania niechcianych akcji.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary oraz wymusić na zalogowanych użytkownikach wykonanie niepożądanych operacji zmieniających stan systemu, co może prowadzić do przejęcia konta lub modyfikacji konfiguracji.
Rekomendacja
Zaktualizuj Nagios XI do wersji 5.11.3 lub nowszej. Dodatkowo rozważ wdrożenie nagłówków SameSite dla ciasteczek sesyjnych w celu ograniczenia ryzyka CSRF.
Inne podatności w Nagios XI
Zobacz wszystkie- CVE-2025-34284Wysokie
Nagios XI przed wersją 2024R2 zawiera podatność na wstrzyknięcie komend w pluginie WinRM. Niewystarczająca walidacja parametrów podawanych przez użytkownika pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.
- CVE-2024-14005Wysokie
Nagios XI przed wersją 2024R1.2 zawiera podatność na wstrzyknięcie komend w kreatorze Docker. Niewystarczająca walidacja danych wprowadzanych przez użytkownika w kreatorze pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.
- CVE-2024-14003Krytyczne
Nagios XI przed wersją 2024R1.2 jest podatny na zdalne wykonanie kodu (RCE) przez wtyczki serwera NRDP. Niewystarczająca walidacja parametrów żądań NRDP pozwala na przekazanie spreparowanych danych do ścieżek wykonania komend, co umożliwia atakującemu wykonanie dowolnych komend na hoście w kontekście usługi web/Nagios.
- CVE-2024-13999Krytyczne
Nagios XI przed wersją 2024R1.1.3, w pewnych okolicznościach, ujawnia token uwierzytelniania Active Directory (AD) lub LDAP serwera uwierzytelnionemu użytkownikowi. Ujawnienie tokena AD/LDAP może umożliwić niewłaściwe użycie uwierzytelniania w całej domenie, eskalację uprawnień lub dalszą kompromitację systemów zintegrowanych z siecią.
- CVE-2024-13996Krytyczne
Nagios XI przed wersją 2024R1.1.3 nie unieważniał wszystkich innych aktywnych sesji użytkownika po zmianie jego hasła. W rezultacie istniejące wcześniej sesje (w tym potencjalnie kontrolowane przez atakującego) pozostawały ważne po aktualizacji poświadczeń. Niewystarczające wygasanie sesji może umożliwić dalszy nieautoryzowany dostęp do danych i działań użytkownika nawet po zmianie hasła.
- CVE-2024-13994Krytyczne
Nagios XI przed wersją 2024R1.1.2 ma brak kontroli autoryzacji, gdy włączona jest opcja 'Allow Insecure Logins'. W tej konfiguracji każdy użytkownik może tworzyć poprawne dane logowania dla innych użytkowników bez odpowiedniej autoryzacji.
- CVE-2012-10063Krytyczne
Nagios XI w wersjach przed 2012R1.3 zawiera podatność SQL injection w interfejsie Core Configuration Manager (CCM). Uwierzytelniony użytkownik może manipulować zapytaniami SQL, dostarczając spreparowane dane wejściowe do określonych parametrów CCM, co może pozwolić na dostęp do danych konfiguracyjnych w bazie aplikacji.
- CVE-2025-34227Wysokie
Nagios XI przed wersją 2026R1 jest podatny na uwierzytelnione wstrzykiwanie poleceń w kreatorach MongoDB Database, MySQL Query, MySQL Server, Postgres Server i Postgres Query. Możliwe jest wstrzyknięcie znaków powłoki do argumentów przekazywanych do usługi i wykonanie dowolnych poleceń systemowych na hoście jako użytkownik 'nagios'.
- CVE-2023-40931Średnie
Podatność SQL Injection w Nagios XI w wersjach od 5.11.0 do 5.11.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez parametr ID w żądaniu POST do skryptu banner_message-ajaxhelper.php.
- CVE-2021-25299Średnie
Nagios XI w wersji xi-5.7.5 zawiera podatność na atak XSS w pliku /usr/local/nagiosxi/html/admin/sshterm.php z powodu braku odpowiedniego oczyszczania danych wejściowych. Złośliwy URL może zostać użyty do kradzieży sesji administratora lub połączenia z innymi błędami w celu zdalnego wykonania kodu (RCE).
Oryginalny opis (angielski, źródło NVD)
Nagios XI versions prior to 5.11.3 are vulnerable to cross-site scripting (XSS) and cross-site request forgery (CSRF) via the Hypermap Replay component. An attacker can submit crafted input that is not properly validated or escaped, allowing injection of malicious script that executes in the context of a victim's browser (XSS). Additionally, the component does not enforce sufficient anti-CSRF protections on state-changing operations, enabling an attacker to induce authenticated users to perform unwanted actions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS