Podatności Nagios XI

Nagios XI przed wersją 2024R2 zawiera podatność na wstrzyknięcie komend w pluginie WinRM. Niewystarczająca walidacja parametrów podawanych przez użytkownika pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.

Nagios XI przed wersją 2024R1.2 zawiera podatność na wstrzyknięcie komend w kreatorze Docker. Niewystarczająca walidacja danych wprowadzanych przez użytkownika w kreatorze pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.

Nagios XI przed wersją 2024R1.2 jest podatny na zdalne wykonanie kodu (RCE) przez wtyczki serwera NRDP. Niewystarczająca walidacja parametrów żądań NRDP pozwala na przekazanie spreparowanych danych do ścieżek wykonania komend, co umożliwia atakującemu wykonanie dowolnych komend na hoście w kontekście usługi web/Nagios.

Nagios XI przed wersją 2024R1.1.3, w pewnych okolicznościach, ujawnia token uwierzytelniania Active Directory (AD) lub LDAP serwera uwierzytelnionemu użytkownikowi. Ujawnienie tokena AD/LDAP może umożliwić niewłaściwe użycie uwierzytelniania w całej domenie, eskalację uprawnień lub dalszą kompromitację systemów zintegrowanych z siecią.

Nagios XI przed wersją 2024R1.1.3 nie unieważniał wszystkich innych aktywnych sesji użytkownika po zmianie jego hasła. W rezultacie istniejące wcześniej sesje (w tym potencjalnie kontrolowane przez atakującego) pozostawały ważne po aktualizacji poświadczeń. Niewystarczające wygasanie sesji może umożliwić dalszy nieautoryzowany dostęp do danych i działań użytkownika nawet po zmianie hasła.

Nagios XI przed wersją 2024R1.1.2 ma brak kontroli autoryzacji, gdy włączona jest opcja 'Allow Insecure Logins'. W tej konfiguracji każdy użytkownik może tworzyć poprawne dane logowania dla innych użytkowników bez odpowiedniej autoryzacji.

Nagios XI w wersjach przed 2012R1.3 zawiera podatność SQL injection w interfejsie Core Configuration Manager (CCM). Uwierzytelniony użytkownik może manipulować zapytaniami SQL, dostarczając spreparowane dane wejściowe do określonych parametrów CCM, co może pozwolić na dostęp do danych konfiguracyjnych w bazie aplikacji.

Nagios XI przed wersją 2026R1 jest podatny na uwierzytelnione wstrzykiwanie poleceń w kreatorach MongoDB Database, MySQL Query, MySQL Server, Postgres Server i Postgres Query. Możliwe jest wstrzyknięcie znaków powłoki do argumentów przekazywanych do usługi i wykonanie dowolnych poleceń systemowych na hoście jako użytkownik 'nagios'.

Podatność SQL Injection w Nagios XI w wersjach od 5.11.0 do 5.11.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez parametr ID w żądaniu POST do skryptu banner_message-ajaxhelper.php.

Nagios XI w wersji xi-5.7.5 zawiera podatność na atak XSS w pliku /usr/local/nagiosxi/html/admin/sshterm.php z powodu braku odpowiedniego oczyszczania danych wejściowych. Złośliwy URL może zostać użyty do kradzieży sesji administratora lub połączenia z innymi błędami w celu zdalnego wykonania kodu (RCE).

W Nagios XI przed wersją 5.9.3 wykryto problem w funkcji is_insecure_login_authenticated, która używa niebezpiecznego porównania czasowego. Pozwala to atakującemu na brute-force hasła administratora poprzez pomiar różnic czasowych w porównaniu.

W pliku twilio_ajax_handler.php w Nagios XI przed wersją 5.9.3 wykryto podatność na otwarte przekierowanie. Atakujący może zmusić użytkownika do odwiedzenia złośliwej strony.

Nagios XI w wersjach wcześniejszych niż 2024R1.1.3 w pewnych okolicznościach ujawnia poufne informacje o kontach użytkowników (w tym klucze API i zahashowane hasła) uwierzytelnionym użytkownikom, którzy nie powinni mieć do nich dostępu. Ujawnienie kluczy API lub hashy haseł może prowadzić do przejęcia konta, nadużycia uprawnień API lub prób łamania haseł offline. Podobną podatność opisano w CVE-2024-13995.

Nagios XI w wersjach przed 2024R1.1.3 zawiera podatność na eskalację uprawnień, w której uwierzytelniony administrator może wykorzystać funkcję Migrate Server do uzyskania uprawnień roota na hoście XI. Nadużywając procesu migracji, atakujący z uprawnieniami administratora może wykonać działania poza zamierzonym zakresem bezpieczeństwa aplikacji, co skutkuje pełną kontrolą nad systemem operacyjnym.

Nagios XI w wersjach wcześniejszych niż 2024R1.1 jest podatny na Cross-Site Scripting (XSS), gdy użytkownik odwiedza stronę 'brakującej strony' (404) po kliknięciu linku z innej witryny. Komponent page-missing.php nie waliduje ani nie escape'uje poprawnie danych wejściowych, co pozwala atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w domenie Nagios XI.

Nagios XI w wersjach przed 2024R2 zawiera nieprawidłowo przypisany skrypt, process_perfdata.pl, który jest wykonywany okresowo jako użytkownik nagios, ale jest własnością www-data. Ponieważ plik był zapisywalny przez www-data, atakujący z uprawnieniami serwera WWW mógł zmodyfikować jego zawartość, prowadząc do wykonania dowolnego kodu jako użytkownik nagios przy następnym uruchomieniu skryptu. Ta nieprawidłowa własność i konfiguracja uprawnień umożliwia lokalną eskalację uprawnień.

Podatność zdalnego wykonania kodu w Nagios XI w wersjach przed 2026R1, występująca w Core Config Manager (CCM) w poleceniu Run Check. Niewystarczająca walidacja/escaping parametrów używanych do budowy linii poleceń backendu pozwala uwierzytelnionemu administratorowi na wstrzyknięcie metaznaków powłoki, które są wykonywane na serwerze. Skuteczne wykorzystanie prowadzi do wykonania dowolnych poleceń z uprawnieniami użytkownika aplikacji webowej Nagios XI i może zostać użyte do przejęcia kontroli nad systemem operacyjnym hosta.

Nagios XI w wersjach przed 2024R1.4.2 ujawniał klucze API użytkownikom, którzy nie mieli uprawnień do dostępu API, podczas korzystania z motywów Neptune. Uwierzytelniony użytkownik bez uprawnień API mógł zobaczyć wartość klucza API innego użytkownika lub własnego.

Nagios XI w wersjach przed 2024R1.4.2 konfiguruje niektóre pliki jednostek systemd z nadmiernie permisywnymi uprawnieniami. W szczególności plik nagios.service miał niepotrzebne uprawnienia wykonywania. Zbyt szerokie uprawnienia mogą rozszerzyć lokalną powierzchnię ataku, umożliwiając nieoczekiwane zachowania wykonawcze lub nadużycia operacji usług.

Nagios XI przed wersją 2024R1.4.2 zawiera podatność na zdalne wykonanie kodu w komponencie Business Process Intelligence (BPI). Niewystarczająca walidacja i sanityzacja parametrów konfiguracyjnych BPI (zwłaszcza bpi_logfile i bpi_configfile) pozwala uwierzytelnionemu administratorowi na tworzenie lub nadpisywanie plików w katalogu webroot, a następnie edycję ich przez edytor konfiguracji BPI. Jeśli pliki mają rozszerzenia wykonywalne i są serwowane przez aplikację webową, możliwe jest wykonanie dowolnego kodu w kontekście użytkownika aplikacji.

Wersje Nagios XI przed 2024R1.0.1 zawierają podatność umożliwiającą podniesienie uprawnień w komponencie System Profile. Z powodu niewłaściwej kontroli dostępu oraz niebezpiecznego przetwarzania eksportowanych/importowanych danych profilu uwierzytelniony administrator może wykonać działania poza zakresem bezpieczeństwa aplikacji.

Nagios XI przed wersją 2024R1.3.2 zawiera podatność na zdalne wykonanie komend w kreatorze konfiguracji WinRM. Niewystarczająca walidacja danych wprowadzanych przez użytkownika pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.

Nagios XI przed wersją 2024R1.2.2 zawiera podatność na wstrzyknięcie nagłówka Host. Aplikacja ufa nagłówkowi Host dostarczonemu przez użytkownika przy konstruowaniu absolutnych URL-i bez odpowiedniej walidacji. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Host, aby zatruć linki lub odpowiedzi, co może ułatwić phishing, przejęcie linków do resetowania konta i zatrucie pamięci podręcznej.

Wersje Nagios XI przed 2024R1.2 zawierają podatność umożliwiającą podniesienie uprawnień związaną z obsługą konfiguracji NagVis (nagvis.conf). Uwierzytelniony użytkownik może manipulować danymi konfiguracyjnymi NagVis lub wykorzystać niewystarczająco zweryfikowane ustawienia konfiguracji, aby uzyskać podwyższone uprawnienia w systemie Nagios XI.

Nagios XI w wersjach przed 2024R1.1.4 zawiera podatność lokalnego włączenia plików (LFI) poprzez integrację NagVis. Uwierzytelniony użytkownik może podać spreparowane wartości ścieżek, powodując włączenie lokalnych plików przez serwer, co może ujawnić poufne informacje z hosta.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Executive Summary Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1.1.3 jest podatny na atak typu cross-site scripting (XSS) w komponencie Capacity Planning Report. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI przed wersją 2024R1.1.2 może ujawniać wrażliwe informacje o kontach użytkowników (w tym klucze API i zahaszowane hasła) uwierzytelnionym użytkownikom, którzy nie powinni mieć do nich dostępu. Potwierdzono to w wersjach 2024R1.1 i 2024R1.1.1.

Nagios XI w wersjach wcześniejszych niż 2024R1.1.2 jest podatny na odbite Cross-Site Scripting (XSS) na stronie logowania, gdy jest używana z starszymi przeglądarkami. Niewystarczająca walidacja lub escape'owanie danych wejściowych odbijanych przez stronę logowania może pozwolić atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w kontekście Nagios XI.

Nagios XI w wersjach przed 2024R1.0.2 jest podatny na cross-site scripting (XSS) poprzez stronę Nagios Core Command Expansion. Niewystarczająca walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1 zawiera podatność braku kontroli dostępu w interfejsie Web SSH Terminal. Zdalny atakujący o niskich uprawnieniach mógł uzyskać dostęp lub wchodzić w interakcję z terminalem bez wystarczającej autoryzacji, co potencjalnie umożliwiało nieautoryzowane wykonanie poleceń lub ujawnienie poufnych informacji.

Nagios XI w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez komponent Graph Explorer. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) poprzez komponent Graph Explorer. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) przez komponent Bandwidth Report. Niewystarczająca walidacja lub escapowanie danych wejściowych może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na atak typu cross-site scripting (XSS) poprzez narzędzie Bulk Modifications. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) oraz cross-site request forgery (CSRF) poprzez komponent Hypermap Replay. Atakujący może przesłać spreparowane dane wejściowe, które nie są prawidłowo walidowane ani escapowane, co pozwala na wstrzyknięcie złośliwego skryptu wykonującego się w kontekście przeglądarki ofiary (XSS). Dodatkowo komponent nie wymusza wystarczających zabezpieczeń anti-CSRF na operacjach zmieniających stan, umożliwiając atakującemu nakłonienie uwierzytelnionych użytkowników do wykonania niechcianych akcji.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) w funkcji sprawdzania aktualizacji. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) poprzez tekst błędu Apply Configuration. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) w komponencie BPI poprzez pole info URL. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.5 zawiera podatność SQL injection na stronie edycji SNMP Trap Interface. Eksploatacja wymaga konta z uprawnieniami administracyjnymi do dostępu do podatnego interfejsu. Użytkownik z dostępem administracyjnym może dostarczyć spreparowane dane wejściowe, które nie są prawidłowo sanityzowane, co pozwala na wstrzyknięcie SQL.

Nagios XI w wersjach przed 5.7.3 zawiera podatność eskalacji uprawnień w skrypcie pomocniczym getprofile.sh. Skrypt wykonywał procedury pobierania i inicjalizacji profilu przy użyciu niebezpiecznej obsługi plików/poleceń oraz niewystarczającej walidacji danych kontrolowanych przez atakującego, a w niektórych wdrożeniach działał z podwyższonymi uprawnieniami. Lokalny atakujący o niskim poziomie dostępu mógł wykorzystać te słabości, aby skłonić skrypt do wykonania dowolnych poleceń lub modyfikacji uprzywilejowanych plików, co skutkowało eskalacją uprawnień.

Nagios XI w wersjach przed 5.7.3 zawiera podatność wstrzyknięcia poleceń w funkcji pobierania/eksportu raportów PDF. Wartości dostarczane przez użytkownika, używane w procesie generowania PDF lub w wrapperze wywołującym narzędzia offline/pdf, były niewystarczająco walidowane lub nieprawidłowo escapowane, co pozwala uwierzytelnionemu atakującemu na wstrzyknięcie metaznaków powłoki lub argumentów.

Nagios XI w wersjach przed 5.7.3 jest podatny na cross-site scripting (XSS) poprzez stronę Manage Users w interfejsie administracyjnym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.2 jest podatny na cross-site scripting (XSS) poprzez komponent BPI (Business Process Intelligence), a konkretnie stronę Config Management i Edit Config. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.2 jest podatny na cross-site scripting (XSS) poprzez ustawienia koloru tła w Dashboardach. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.2 pozwala na przesyłanie plików PHP do katalogu Audio Import i ich wykonywanie z tego miejsca. Mechanizm przesyłania nie ograniczał właściwie typów plików ani nie wymuszał przechowywania poza katalogiem głównym serwera WWW, a serwer WWW zezwalał na wykonywanie w katalogu przesyłania. Uwierzytelniony atakujący z dostępem do funkcji importu audio mógł przesłać spreparowany plik PHP, a następnie zażądać go, aby uzyskać zdalne wykonanie kodu z uprawnieniami usługi aplikacji.