Podatności Nagios XI

Nagios XI w wersjach przed 5.6.11 zawiera nieuwierzytelnione podatności w narzędziu Highcharts local exporting. Spreparowane żądania eksportu mogą (1) wstrzyknąć skrypt do eksportowanej/zwracanej treści z powodu niewystarczającego kodowania wyjściowego (XSS) oraz (2) spowodować, że serwer pobierze adresy URL określone przez atakującego (SSRF), potencjalnie uzyskując dostęp do wewnętrznych zasobów sieciowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te problemy do wykonania skryptu w przeglądarce użytkownika i ujawnienia poufnych informacji.

Nagios XI w wersjach przed 5.6.14 zawiera poautoryzacyjną podatność SQL injection na stronie SNMP Trap Interface. Eksploatacja wymaga konta z uprawnieniami administracyjnymi do dostępu do podatnego interfejsu. Użytkownik z dostępem administracyjnym może dostarczyć spreparowane dane wejściowe, które nie są prawidłowo sanityzowane, co pozwala na wstrzyknięcie SQL.

Nagios XI w wersjach przed 5.6.14 zawiera uwierzytelnioną podatność zdalnego wykonania kodu w skrypcie CCM command_test.php. Niewystarczająca walidacja parametru `address` pozwala uwierzytelnionemu użytkownikowi z dostępem do Core Config Manager na wstrzyknięcie metaznaków powłoki, które są włączane do wywołań poleceń backendu.

Nagios XI w wersjach przed 5.5.7 zawiera podatność eskalacji uprawnień w komponencie grafów MRTG. Procesy/skrypty związane z MRTG były wykonywane z nadmiernymi uprawnieniami, co pozwalało lokalnemu atakującemu o ograniczonym dostępie do systemu wykorzystać ścieżki wykonania plików/poleceń lub zasoby z prawem zapisu do uzyskania podwyższonych uprawnień.

Nagios XI w wersjach przed 5.4.13 zawiera podatność zdalnego wykonania kodu na stronie Component Download. Mechanizm pobierania/importu używał niebezpiecznego konstruowania poleceń z danymi kontrolowanymi przez atakującego i nie miał wystarczającej walidacji oraz kodowania wyjścia, co pozwalało uwierzytelnionemu użytkownikowi wstrzyknąć polecenia lub wykonać dowolny kod z uprawnieniami usługi aplikacji.

Nagios XI w wersjach przed 5.4.13 jest podatny na cross-site scripting (XSS) poprzez stronę Views w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez listę "My Reports" w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez system menu w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez interfejs Reports, wykorzystując wartości z pól startdate i enddate. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 zawiera podatność SQL injection w funkcji wyszukiwania powiadomień. Parametry wyszukiwania dostarczone przez użytkownika były włączane do zapytań SQL bez odpowiedniej parametryzacji lub sanityzacji, co pozwalało uwierzytelnionemu użytkownikowi manipulować zapytaniami do bazy danych. Skuteczne wykorzystanie mogło ujawnić lub zmodyfikować dane powiadomień, a w niektórych przypadkach wpłynąć szerzej na bazę danych aplikacji.

Nagios XI w wersjach przed 2012R2.6 jest podatny na cross-site scripting (XSS) poprzez menu Tools w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2012R1.6 zawiera podatność wstrzyknięcia poleceń powłoki w narzędziu Auto-Discovery. Dane wejściowe kontrolowane przez użytkownika są przekazywane do powłoki bez odpowiedniej sanityzacji lub cytowania argumentów, co pozwala uwierzytelnionemu użytkownikowi z dostępem do funkcji odkrywania na wykonanie dowolnych poleceń z uprawnieniami usługi aplikacji.

Nagios XI w wersjach przed 2012R1.6 zawiera błąd autoryzacji w funkcjonalności Auto-Discovery. Użytkownicy z rolą tylko do odczytu mogli bezpośrednio uzyskiwać dostęp do punktów końcowych i stron Auto-Discovery, które powinny wymagać podwyższonych uprawnień, ujawniając wyniki odkrywania i umożliwiając niezamierzony dostęp do operacji odkrywania.

Nagios XI w wersjach przed 2012R1.6 zawiera podatność typu reflected cross-site scripting (XSS) w funkcjonalności ładowania AJAX dashletów na pulpicie. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez funkcje obsługi linków używane na stronach statusu i raportów. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez raport Alert Heatmap oraz listę "My Reports" w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez skrypt recurring downtime w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez obsługę zmiennych xiwindow używanych do budowania permalinków w interfejsie webowym. Niewystarczająca walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez obsługę linku JavaScript "backend_url". Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 zawiera podatności eskalacji uprawnień w skryptach instalujących lub aktualizujących wpisy crontab systemu. Z powodu warunków wyścigu typu time-of-check/time-of-use oraz braku synchronizacji lub walidacji końcowej ścieżki lokalny użytkownik o niskich uprawnieniach mógł manipulować stanem systemu plików podczas instalacji crontab, aby wpłynąć na pliki lub polecenia wykonywane z podwyższonymi uprawnieniami, co skutkowało wykonaniem z wyższymi uprawnieniami.

Nagios XI < 2024R1.3.2 zawiera podatność na zdalne wykonanie kodu poprzez połączenie dwóch luk: dowolnego przesyłania plików i path traversal w interfejsie Core Config Snapshots. Problem wynika z niewystarczającej walidacji ścieżek plików i rozszerzeń podczas operacji przesyłania MIB i zmiany nazwy snapshotów. Eksploatacja skutkuje umieszczeniem kontrolowanych przez atakującego plików PHP w katalogu dostępnym z sieci, wykonywanych jako użytkownik www-data.

W Nagios XI 2024R2 wykryto podatność na atak XSS (cross-site scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w sesji zalogowanego użytkownika poprzez spreparowany URL. Problem dotyczy komponentu webowego odpowiedzialnego za renderowanie danych związanych z wydajnością.

Podatność w komponencie Autodiscover w Nagios XI 2024R1.01 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez spreparowany Dashlet.

Podatność SQL injection w Nagios XI 5.11.1 i wcześniejszych umożliwia uwierzytelnionym atakującym z uprawnieniami do zarządzania eskalacjami hostów w Menedżerze Konfiguracji Podstawowej wykonanie dowolnych poleceń SQL poprzez ustawienia powiadomień eskalacji hostów.

Podatność SQL Injection w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z uprawnieniami do konfiguracji banera ogłoszeń wykonanie dowolnych poleceń SQL poprzez parametr ID przesyłany do funkcji update_banner_message().

Podatność na skryptowanie między witrynami (XSS) w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z dostępem do komponentu niestandardowego logo wstrzyknięcie dowolnego kodu JavaScript lub HTML za pomocą pola tekstu alternatywnego. Atak wpływa na wszystkie strony zawierające pasek nawigacyjny, w tym stronę logowania, co pozwala na kradzież haseł w postaci jawnego tekstu.

Podatność w Nagios XI przed wersją 5.8.5 umożliwia lokalną eskalację uprawnień. Wynika to z importowania pliku xi-sys.cfg z katalogu var przez skrypty uruchamiane z podwyższonymi uprawnieniami.