Podatności Nagios Log Server

Nagios Log Server w wersjach wcześniejszych niż 2026R1.0.1 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń w eksperymentalnej funkcji 'Natural Language Queries'. Gdy funkcja jest skonfigurowana, niektóre ustawienia kontrolowane przez użytkownika, w tym wybór modelu i parametry połączenia, są odczytywane z globalnej konfiguracji i łączone w polecenie powłoki wykonywane przez shell_exec() bez odpowiedniego przetwarzania wejścia lub sanityzacji argumentów wiersza poleceń. Uwierzytelniony użytkownik z dostępem do strony 'Global Settings' może dostarczyć spreparowane wartości w tych polach, aby wstrzyknąć dodatkowe polecenia powłoki, co prowadzi do wykonania dowolnych poleceń jako użytkownik 'www-data' i kompromitacji hosta Log Server.

Nagios Log Server przed wersją 2024R1.3.1 zawiera podatność na wstrzykiwanie kodu, gdzie nieprawidłowe wartości identyfikatora dashboardu nie są poprawnie walidowane przed przekazaniem do wewnętrznego API. Atakujący, który może dostarczyć spreparowane wartości ID dashboardu, może spowodować wykonanie danych kontrolowanych przez atakującego, prowadząc do arbitralnego wykonania kodu w kontekście procesu Log Server.

Nagios Log Server przed wersją 2024R2.0.3 zawiera podatność na wykonanie z niepotrzebnymi przywilejami, ponieważ uruchamia wbudowany proces Logstash jako użytkownik root. Jeśli atakujący jest w stanie skompromitować proces Logstash, na przykład poprzez wykorzystanie niebezpiecznej wtyczki, wstrzyknięcie konfiguracji potoku lub podatność w parsowaniu wejścia, może wykonać kod z uprawnieniami roota, co prowadzi do pełnego przejęcia systemu. Usługa Logstash została zmieniona, aby działała jako użytkownik o niższych uprawnieniach 'nagios'.

Podatność w Nagios Log Server przed wersją 2024R2.0.2 dotyczy menedżera klastra, który żąda wrażliwych poświadczeń od węzłów równorzędnych przez nieszyfrowany kanał, nawet gdy SSL/TLS jest włączony. Atakujący w sieci może przechwycić poświadczenia w transmisji.

Nagios Log Server przed wersją 2024R1.3.2 pozwala uwierzytelnionym użytkownikom na odczyt administracyjnych kluczy API w postaci jawnej poprzez wywołanie /nagioslogserver/index.php/api/system/get_users.

Nagios Log Server w wersjach przed 2026R1.0.1 jest podatny na lokalną eskalację uprawnień z powodu kombinacji błędnej konfiguracji sudo i katalogów aplikacji zapisywalnych przez grupę. Użytkownik 'www-data' jest członkiem grupy 'nagios', która ma prawa zapisu do '/usr/local/nagioslogserver/scripts', a kilka skryptów w tym katalogu jest własnością roota i może być uruchamiane przez sudo bez hasła. Lokalny atakujący działający jako 'www-data' może przenieść jeden z tych skryptów do nazwy kopii zapasowej i utworzyć zamiennik z dowolną treścią, a następnie uruchomić go przez sudo, co pozwala na wykonanie dowolnych poleceń z uprawnieniami roota i pełne przejęcie systemu operacyjnego.

Nagios Log Server w wersjach przed 2024R1.3.2 zawiera podatność na eskalację uprawnień w procesie zmiany adresu e-mail konta. Użytkownik może ustawić swój adres e-mail na nieprawidłową wartość, a z powodu niewystarczającej walidacji i kontroli autoryzacji związanych ze stanem tożsamości e-mail, może to wywołać niespójny stan konta, który przyznaje podwyższone uprawnienia lub omija zamierzone kontrolę dostępu.

Nagios Log Server w wersjach przed 2024R2.0.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala użytkownikom niebędącym administratorami usuwać globalne dashboardy. Aplikacja nie egzekwowała poprawnie kontroli autoryzacji dla procesu usuwania globalnych dashboardów, umożliwiając użytkownikom o niższych uprawnieniach usuwanie dashboardów wpływających na innych użytkowników lub ogólny interfejs monitoringu.

W Nagios Log Server w wersjach starszych niż 2024R2.0.3, gdy skonfigurowany domyślny pulpit nawigacyjny użytkownika zostanie usunięty, aplikacja nie wraca niezawodnie do pustego, domyślnego pulpitu. W niektórych wdrożeniach może to skutkować wyświetleniem nieoczekiwanego pulpitu jako widoku domyślnego użytkownika.

Nagios Log Server przed wersją 2024R2.0.2 zawiera podatność w funkcji importu użytkowników AD/LDAP, która nie maskuje pola hasła podczas importu. W rezultacie hasło w postaci jawnego tekstu dla importowanych kont może być ujawnione w interfejsie użytkownika, logach lub innych danych diagnostycznych.

Nagios Log Server w wersjach przed 2024R1.0.2 zawiera podatność lokalnego podniesienia uprawnień, która pozwala atakującemu mogącemu wykonywać polecenia jako użytkownik Apache (lub użytkownik powłoki backendu) na eskalację do roota na hoście.

Nagios Log Server w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez funkcję Create User. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Log Server w wersjach przed 2024R1 zawiera podatność nieprawidłowej autoryzacji. Użytkownicy, którym brakowało wymaganego uprawnienia API, mogli mimo to wywoływać punkty końcowe API, co skutkowało niezamierzonym dostępem do danych i akcji udostępnianych przez API. Ta nieprawidłowa kontrola autoryzacji mogła pozwolić uwierzytelnionym, ale nieuprzywilejowanym użytkownikom na odczyt lub modyfikację zasobów wykraczających poza ich zamierzone uprawnienia.

Nagios Log Server w wersjach przed 2.1.14 jest podatny na cross-site scripting (XSS) poprzez stronę Snapshots. Niezaufana zawartość logów nie była bezpiecznie kodowana dla kontekstu wyjściowego, co pozwala danym kontrolowanym przez atakującego na wykonanie skryptu w przeglądarce ofiary w obrębie domeny aplikacji.

Nagios Log Server w wersjach przed 2.1.6 zawiera podatności typu cross-site scripting (XSS) poprzez interfejs webowy na stronach Create User, Edit User i Manage Host Lists. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Log Server w wersjach przed 1.4.2 jest podatny na cross-site scripting (XSS) w sekcji Dashboards podczas renderowania wpisów logów w tabeli Logs. Niezaufana zawartość logów nie była bezpiecznie kodowana dla kontekstu wyjściowego, co pozwala danym kontrolowanym przez atakującego na wykonanie skryptu w przeglądarce ofiary w obrębie domeny aplikacji.

Nagios Log Server przed wersją 2024R1.3.2 pozwala uwierzytelnionym użytkownikom z dostępem tylko do odczytu API na zatrzymanie usługi Elasticsearch poprzez wywołanie /nagioslogserver/index.php/api/system/stop?subsystem=elasticsearch. Usługa zatrzymuje się mimo komunikatu w odpowiedzi API o niemożności zatrzymania.