CVE-2025-34280

WysokieCVSS 7.2

Opublikowano: 30/10/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.43%

Percentyl 72 - wyżej niż 72% wszystkich znanych CVE

Streszczenie

Nagios Network Analyzer w wersjach przed 2024R2.0.1 zawiera podatność w funkcji zarządzania certyfikatami LDAP, gdzie operacja usuwania certyfikatu nie stosuje odpowiedniej sanityzacji danych wejściowych. Uwierzytelniony administrator może wywołać wykonanie poleceń na hoście w kontekście usługi aplikacji webowej, co prowadzi do zdalnego wykonania kodu z uprawnieniami usługi.

Ocena ryzyka

Uwierzytelniony administrator może zdalnie wykonać kod z uprawnieniami usługi webowej, co może skutkować przejęciem kontroli nad hostem i dostępem do danych monitoringu.

Rekomendacja

Zaktualizuj Nagios Network Analyzer do wersji 2024R2.0.1 lub nowszej. Ogranicz uprawnienia administracyjne i monitoruj nietypowe operacje na certyfikatach LDAP.

Inne podatności w Nagios Network Analyzer

CVE-2025-34278Średnie
Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.

Oryginalny opis (angielski, źródło NVD)

Nagios Network Analyzer versions prior to 2024R2.0.1 contain a vulnerability in the LDAP certificate management functionality whereby the certificate removal operation fails to apply adequate input sanitation. An authenticated administrator can trigger command execution on the underlying host in the context of the web application service, resulting in remote code execution with the service's privileges.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS