CVE-2020-36858

Nagios Log Server w wersjach wcześniejszych niż 2026R1.0.1 zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń w eksperymentalnej funkcji 'Natural Language Queries'. Gdy funkcja jest skonfigurowana, niektóre ustawienia kontrolowane przez użytkownika, w tym wybór modelu i parametry połączenia, są odczytywane z globalnej konfiguracji i łączone w polecenie powłoki wykonywane przez shell_exec() bez odpowiedniego przetwarzania wejścia lub sanityzacji argumentów wiersza poleceń. Uwierzytelniony użytkownik z dostępem do strony 'Global Settings' może dostarczyć spreparowane wartości w tych polach, aby wstrzyknąć dodatkowe polecenia powłoki, co prowadzi do wykonania dowolnych poleceń jako użytkownik 'www-data' i kompromitacji hosta Log Server.

Nagios Log Server przed wersją 2024R1.3.1 zawiera podatność na wstrzykiwanie kodu, gdzie nieprawidłowe wartości identyfikatora dashboardu nie są poprawnie walidowane przed przekazaniem do wewnętrznego API. Atakujący, który może dostarczyć spreparowane wartości ID dashboardu, może spowodować wykonanie danych kontrolowanych przez atakującego, prowadząc do arbitralnego wykonania kodu w kontekście procesu Log Server.

Nagios Log Server przed wersją 2024R2.0.3 zawiera podatność na wykonanie z niepotrzebnymi przywilejami, ponieważ uruchamia wbudowany proces Logstash jako użytkownik root. Jeśli atakujący jest w stanie skompromitować proces Logstash, na przykład poprzez wykorzystanie niebezpiecznej wtyczki, wstrzyknięcie konfiguracji potoku lub podatność w parsowaniu wejścia, może wykonać kod z uprawnieniami roota, co prowadzi do pełnego przejęcia systemu. Usługa Logstash została zmieniona, aby działała jako użytkownik o niższych uprawnieniach 'nagios'.

Podatność w Nagios Log Server przed wersją 2024R2.0.2 dotyczy menedżera klastra, który żąda wrażliwych poświadczeń od węzłów równorzędnych przez nieszyfrowany kanał, nawet gdy SSL/TLS jest włączony. Atakujący w sieci może przechwycić poświadczenia w transmisji.

Nagios Log Server przed wersją 2024R1.3.2 pozwala uwierzytelnionym użytkownikom na odczyt administracyjnych kluczy API w postaci jawnej poprzez wywołanie /nagioslogserver/index.php/api/system/get_users.

Nagios Log Server w wersjach przed 2026R1.0.1 jest podatny na lokalną eskalację uprawnień z powodu kombinacji błędnej konfiguracji sudo i katalogów aplikacji zapisywalnych przez grupę. Użytkownik 'www-data' jest członkiem grupy 'nagios', która ma prawa zapisu do '/usr/local/nagioslogserver/scripts', a kilka skryptów w tym katalogu jest własnością roota i może być uruchamiane przez sudo bez hasła. Lokalny atakujący działający jako 'www-data' może przenieść jeden z tych skryptów do nazwy kopii zapasowej i utworzyć zamiennik z dowolną treścią, a następnie uruchomić go przez sudo, co pozwala na wykonanie dowolnych poleceń z uprawnieniami roota i pełne przejęcie systemu operacyjnego.

Nagios Log Server w wersjach przed 2024R1.3.2 zawiera podatność na eskalację uprawnień w procesie zmiany adresu e-mail konta. Użytkownik może ustawić swój adres e-mail na nieprawidłową wartość, a z powodu niewystarczającej walidacji i kontroli autoryzacji związanych ze stanem tożsamości e-mail, może to wywołać niespójny stan konta, który przyznaje podwyższone uprawnienia lub omija zamierzone kontrolę dostępu.

Nagios Log Server w wersjach przed 2024R2.0.3 zawiera podatność nieprawidłowej autoryzacji, która pozwala użytkownikom niebędącym administratorami usuwać globalne dashboardy. Aplikacja nie egzekwowała poprawnie kontroli autoryzacji dla procesu usuwania globalnych dashboardów, umożliwiając użytkownikom o niższych uprawnieniach usuwanie dashboardów wpływających na innych użytkowników lub ogólny interfejs monitoringu.

W Nagios Log Server w wersjach starszych niż 2024R2.0.3, gdy skonfigurowany domyślny pulpit nawigacyjny użytkownika zostanie usunięty, aplikacja nie wraca niezawodnie do pustego, domyślnego pulpitu. W niektórych wdrożeniach może to skutkować wyświetleniem nieoczekiwanego pulpitu jako widoku domyślnego użytkownika.

Nagios Log Server przed wersją 2024R2.0.2 zawiera podatność w funkcji importu użytkowników AD/LDAP, która nie maskuje pola hasła podczas importu. W rezultacie hasło w postaci jawnego tekstu dla importowanych kont może być ujawnione w interfejsie użytkownika, logach lub innych danych diagnostycznych.