CVE-2024-13992
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Nagios XI w wersjach wcześniejszych niż 2024R1.1 jest podatny na Cross-Site Scripting (XSS), gdy użytkownik odwiedza stronę 'brakującej strony' (404) po kliknięciu linku z innej witryny. Komponent page-missing.php nie waliduje ani nie escape'uje poprawnie danych wejściowych, co pozwala atakującemu na stworzenie złośliwego linku, który po odwiedzeniu przez ofiarę wykonuje dowolny JavaScript w jej przeglądarce w domenie Nagios XI.
Ocena ryzyka
Atakujący może wykorzystać XSS do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w Nagios XI, co może prowadzić do kompromitacji systemu monitorowania.
Rekomendacja
Zaleca się aktualizację Nagios XI do wersji 2024R1.1 lub nowszej. Należy również rozważyć dodanie walidacji wejścia i escape'owania w page-missing.php oraz edukować użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w Nagios XI
Zobacz wszystkie- CVE-2025-34284Wysokie
Nagios XI przed wersją 2024R2 zawiera podatność na wstrzyknięcie komend w pluginie WinRM. Niewystarczająca walidacja parametrów podawanych przez użytkownika pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.
- CVE-2024-14005Wysokie
Nagios XI przed wersją 2024R1.2 zawiera podatność na wstrzyknięcie komend w kreatorze Docker. Niewystarczająca walidacja danych wprowadzanych przez użytkownika w kreatorze pozwala uwierzytelnionemu administratorowi wstrzyknąć metaznaki powłoki, które są dołączane do wywołań komend w tle. Udane wykorzystanie umożliwia wykonanie dowolnych komend z uprawnieniami użytkownika aplikacji webowej Nagios XI.
- CVE-2024-14003Krytyczne
Nagios XI przed wersją 2024R1.2 jest podatny na zdalne wykonanie kodu (RCE) przez wtyczki serwera NRDP. Niewystarczająca walidacja parametrów żądań NRDP pozwala na przekazanie spreparowanych danych do ścieżek wykonania komend, co umożliwia atakującemu wykonanie dowolnych komend na hoście w kontekście usługi web/Nagios.
- CVE-2024-13999Krytyczne
Nagios XI przed wersją 2024R1.1.3, w pewnych okolicznościach, ujawnia token uwierzytelniania Active Directory (AD) lub LDAP serwera uwierzytelnionemu użytkownikowi. Ujawnienie tokena AD/LDAP może umożliwić niewłaściwe użycie uwierzytelniania w całej domenie, eskalację uprawnień lub dalszą kompromitację systemów zintegrowanych z siecią.
- CVE-2024-13996Krytyczne
Nagios XI przed wersją 2024R1.1.3 nie unieważniał wszystkich innych aktywnych sesji użytkownika po zmianie jego hasła. W rezultacie istniejące wcześniej sesje (w tym potencjalnie kontrolowane przez atakującego) pozostawały ważne po aktualizacji poświadczeń. Niewystarczające wygasanie sesji może umożliwić dalszy nieautoryzowany dostęp do danych i działań użytkownika nawet po zmianie hasła.
- CVE-2024-13994Krytyczne
Nagios XI przed wersją 2024R1.1.2 ma brak kontroli autoryzacji, gdy włączona jest opcja 'Allow Insecure Logins'. W tej konfiguracji każdy użytkownik może tworzyć poprawne dane logowania dla innych użytkowników bez odpowiedniej autoryzacji.
- CVE-2023-40931Średnie
Podatność SQL Injection w Nagios XI w wersjach od 5.11.0 do 5.11.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez parametr ID w żądaniu POST do skryptu banner_message-ajaxhelper.php.
- CVE-2021-25299Średnie
Nagios XI w wersji xi-5.7.5 zawiera podatność na atak XSS w pliku /usr/local/nagiosxi/html/admin/sshterm.php z powodu braku odpowiedniego oczyszczania danych wejściowych. Złośliwy URL może zostać użyty do kradzieży sesji administratora lub połączenia z innymi błędami w celu zdalnego wykonania kodu (RCE).
- CVE-2021-25298WysokieAktywnie exploitowane
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku /usr/local/nagiosxi/html/includes/configwizards/cloud-vm/cloud-vm.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
- CVE-2021-25297WysokieAktywnie exploitowane
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku switch.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Nagios XI versions prior to < 2024R1.1 is vulnerable to a cross-site scripting (XSS) when a user visits the "missing page" (404) page after following a link from another website. The vulnerable component, page-missing.php, fails to properly validate or escape user-supplied input, allowing an attacker to craft a malicious link that, when visited by a victim, executes arbitrary JavaScript in the victim’s browser within the Nagios XI domain.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS