CVE-2026-84990
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. Przed wersją 6.7.260718 skrypty scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua i download_backup.lua pozwalają każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem na listowanie i pobieranie kopii zapasowych konfiguracji systemu bez sprawdzenia uprawnień administratora. Ścieżka pobierania sięga do backup_config.export_backup, a prefs_dump_utils.build_prefs_dump_table obejmuje przestrzeń kluczy Redis ntopng.user.* w kopii zapasowej. Pobrana kopia może więc ujawnić hashe haseł lokalnych użytkowników oraz, gdy skonfigurowano, tokeny API, sekrety TOTP i dane poświadczeń WebAuthn, umożliwiając przejęcie konta poprzez użyteczne lub odzyskiwalne poświadczenia. Problem naprawiono w wersji 6.7.260718.
Ocena ryzyka
Niskouprzywilejowany uwierzytelniony użytkownik może pobrać kopię zapasową zawierającą hashe haseł, tokeny API, sekrety TOTP i dane WebAuthn, co umożliwia przejęcie kont uprzywilejowanych. Ryzyko jest wysokie, ponieważ prowadzi do eskalacji uprawnień i kompromitacji całego systemu monitoringu.
Rekomendacja
Zaktualizuj ntopng do wersji 6.7.260718 lub nowszej, aby naprawić brak kontroli uprawnień administratora przy operacjach na kopiach zapasowych. Dodatkowo rozważ rotację haseł, tokenów API, sekretów TOTP i poświadczeń WebAuthn, jeśli kopie mogły zostać pobrane przez nieuprawnionych użytkowników.
Inne podatności w ntopng
Zobacz wszystkie- CVE-2017-7458Wysokie
Funkcja NetworkInterface::getHost w ntopng przed wersją 3.0 pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez dereferencję wskaźnika NULL, gdy pole, które powinno zawierać nazwę hosta lub adres IP, jest puste.
- CVE-2017-7459Wysokie
Ntopng w wersjach przed 3.0 umożliwia wykorzystanie podatności typu HTTP Response Splitting.
- CVE-2017-5473Wysokie
Podatność CSRF w ntopng w wersji 2.4 umożliwia zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników. Przykłady wykorzystania obejmują pliki admin/add_user.lua, admin/change_user_prefs.lua, admin/delete_user.lua oraz admin/password_reset.lua.
- CVE-2026-38968Krytyczne
Podatność w ntopng do wersji 6.6 umożliwia przewidywanie identyfikatorów sesji HTTP, co może prowadzić do przejęcia sesji. Identyfikatory sesji są generowane przy użyciu słabego generatora pseudolosowego opartego na czasie, co czyni je deterministycznymi lub podatnymi na kolizje.
- CVE-2026-83621Wysokie
W ntopng przed wersją 6.7.260717 endpoint POST /lua/rest/v2/edit/system/edit_blacklist.lua nie sprawdza uprawnień administratora i wywołuje lists_utils.editList dla każdego uwierzytelnionego użytkownika. Parametry list_name, list_enabled, url i list_update pozwalają użytkownikowi bez uprawnień administratora przekierować pobieranie danych threat intelligence na treści kontrolowane przez atakującego, wyłączyć listy blokad lub zablokować zaplanowane aktualizacje.
- CVE-2026-82412Wysokie
W ntopng przed wersją 6.7.260717 endpointy skanowania podatności scripts/lua/rest/v2/add/host/to_scan.lua i scripts/lua/rest/v2/exec/host/schedule_vulnerability_scan.lua przyjmują parametr scan_ports bez kontroli uprawnień administratora i przepuszczają go przez validateSingleWord, który dopuszcza metaznaki powłoki. Parametr jest następnie łączony z poleceniem nmap i wykonywany przez ntop.execCmd lub ntop.execCmdAsync i popen.
- CVE-2026-86091Wysokie
ntopng przed wersją 6.7.260717 nie sprawdza uprawnień użytkownika w punkcie końcowym masowego usuwania pul, co pozwala uwierzytelnionym nie-administratorom na usunięcie wszystkich pul hostów i powiązań członków. Atakujący mogą wysyłać żądania POST do punktu usuwania pul, aby nieodwracalnie zniszczyć wszystkie pule hostów, usuwając powiązania polityk ruchu i ograniczenia widoczności, co może obejść polityki bezpieczeństwa.
- CVE-2026-86090Wysokie
ntopng przed wersją 6.7.260717 nie przeprowadza kontroli autoryzacji w punktach końcowych usuwania oraz w handlerach REST v2 dla odbiorców. Uwierzytelnieni użytkownicy niebędący administratorami mogą wysyłać żądania POST, aby nieodwracalnie usunąć wszystkie skonfigurowane punkty końcowe powiadomień i odbiorców, wyciszając wszystkie alerty.
- CVE-2026-84989Wysokie
ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. W wersjach 6.7.0 do 6.7.260717 dwa punkty końcowe REST v2 zarządzające funkcją tagów/odznak — `POST /lua/rest/v2/delete/tag/tag.lua` i `POST /lua/rest/v2/edit/tag/tag.lua` — nie wykonują żadnej kontroli autoryzacji. Każdy uwierzytelniony użytkownik, w tym konto niebędące administratorem („nieuprzywilejowane”), może usunąć lub zmienić nazwę dowolnego tagu w systemie, w tym tagi utworzone przez administratora. Wersja 6.7.260718 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
ntopng is a web-based network traffic monitoring application. Prior to 6.7.260718, scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua and scripts/lua/rest/v2/get/system/configurations/download_backup.lua allow any authenticated non-admin user to list and download system-configuration backups without an administrator check. The download path reaches backup_config.export_backup, and prefs_dump_utils.build_prefs_dump_table includes the ntopng.user.* Redis key space in the backup. A downloaded backup can therefore disclose password hashes for local users and, when configured, API tokens, TOTP secrets, and WebAuthn credential data, enabling account compromise through usable or recoverable credentials. This issue is fixed in version 6.7.260718.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS