CVE-2025-34280
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 72 - wyżej niż 72% wszystkich znanych CVE
Streszczenie
Nagios Network Analyzer w wersjach przed 2024R2.0.1 zawiera podatność w funkcji zarządzania certyfikatami LDAP, gdzie operacja usuwania certyfikatu nie stosuje odpowiedniej sanityzacji danych wejściowych. Uwierzytelniony administrator może wywołać wykonanie poleceń na hoście w kontekście usługi aplikacji webowej, co prowadzi do zdalnego wykonania kodu z uprawnieniami usługi.
Ocena ryzyka
Uwierzytelniony administrator może zdalnie wykonać kod z uprawnieniami usługi webowej, co może skutkować przejęciem kontroli nad hostem i dostępem do danych monitoringu.
Rekomendacja
Zaktualizuj Nagios Network Analyzer do wersji 2024R2.0.1 lub nowszej. Ogranicz uprawnienia administracyjne i monitoruj nietypowe operacje na certyfikatach LDAP.
Inne podatności w Nagios Network Analyzer
Zobacz wszystkie- CVE-2025-34278Średnie
Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.
- CVE-2023-7319Średnie
Nagios Network Analyzer w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez menu Percentile Calculator. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
Nagios Network Analyzer versions prior to 2024R2.0.1 contain a vulnerability in the LDAP certificate management functionality whereby the certificate removal operation fails to apply adequate input sanitation. An authenticated administrator can trigger command execution on the underlying host in the context of the web application service, resulting in remote code execution with the service's privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS