CVE-2026-48553
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Nagios Core przed wersją 4.5.13 i Nagios XI przed 2026R1.5 są podatne na uwierzytelnione zdalne wykonanie kodu poprzez wstrzyknięcie makr zmiennych niestandardowych przez Nagios Remote Data Processor (NRDP). Gdy zmienna niestandardowa zdefiniowana na hoście, usłudze lub kontakcie jest odwoływana w linii poleceń wykonywanej przez powłokę, uwierzytelniony atakujący z dostępem do NRDP może wstrzyknąć polecenia systemu operacyjnego przez wartość makra. Wykorzystanie wymaga niestandardowej konfiguracji, w której zmienna niestandardowa jest zdefiniowana i odwoływana w poleceniu wykonywanym przez powłokę.
Ocena ryzyka
Ryzyko dla organizacji to możliwość zdalnego wykonania kodu przez uwierzytelnionego atakującego z dostępem do NRDP, co może prowadzić do pełnej kompromitacji systemu Nagios.
Rekomendacja
Zaleca się aktualizację Nagios Core do wersji 4.5.13 lub nowszej oraz Nagios XI do wersji 2026R1.5 lub nowszej. Należy również ograniczyć dostęp do NRDP i unikać odwołań do zmiennych niestandardowych w poleceniach wykonywanych przez powłokę.
Oryginalny opis (angielski, źródło NVD)
Nagios Core before 4.5.13 and Nagios XI before 2026R1.5 are vulnerable to authenticated remote code execution via custom-variable macro injection through the Nagios Remote Data Processor (NRDP). When a custom variable defined on a host, service, or contact is referenced in a shell-executed command line, an authenticated attacker with NRDP access can inject OS commands through the macro value. Exploitation requires a non-default configuration in which a custom variable is defined and referenced in a shell-executed command.