Aktywnie wykorzystywana w atakach
Paessler PRTG Network Monitor Local File Inclusion Vulnerability
Paessler - PRTG Network Monitor · Figuruje w katalogu CISA KEV od 2025-02-04. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2018-19410
KrytyczneCVSS 9.8KEVStreszczenie
PRTG Network Monitor przed wersją 18.2.40.1683 pozwala zdalnym nieuwierzytelnionym atakującym na tworzenie użytkowników z uprawnieniami odczytu i zapisu (w tym administratora). Atakujący może wysłać spreparowane żądanie HTTP, aby nadpisać atrybuty dyrektywy 'include' w /public/login.htm i przeprowadzić atak Local File Inclusion, dołączając /api/addusers i wykonując go. Podając parametry 'id' i 'users', nieuwierzytelniony atakujący może utworzyć użytkownika z uprawnieniami administratora.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad systemem monitorowania, co może prowadzić do kradzieży danych, modyfikacji konfiguracji i przerwania działania monitoringu.
Rekomendacja
Zaktualizuj PRTG Network Monitor do wersji 18.2.40.1683 lub nowszej. Ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Inne podatności w PRTG Network Monitor
Zobacz wszystkieOryginalny opis (angielski, źródło NVD)
PRTG Network Monitor before 18.2.40.1683 allows remote unauthenticated attackers to create users with read-write privileges (including administrator). A remote unauthenticated user can craft an HTTP request and override attributes of the 'include' directive in /public/login.htm and perform a Local File Inclusion attack, by including /api/addusers and executing it. By providing the 'id' and 'users' parameters, an unauthenticated attacker can create a user with read-write privileges (including administrator).