Nagios Log Server przed wersją 2024R1.3.2 umożliwia uwierzytelnionym użytkownikom pobranie administratorskich kluczy API w postaci niezaszyfrowanej (cleartext). Jest to krytyczna podatność, ponieważ przejęcie kluczy API administratora pozwala atakującemu na pełne przejęcie kontroli nad systemem.
▸ Pokaż oryginał (EN)
Nagios Log Server before 2024R1.3.2 allows authenticated users to retrieve cleartext administrative API keys via a /nagioslogserver/index.php/api/system/get_users call. This is GL:NLS#475.
Uwierzytelniony użytkownik (niezależnie od poziomu uprawnień) może wykonać żądanie HTTP GET do endpointu /nagioslogserver/index.php/api/system/get_users. W odpowiedzi serwer zwraca dane użytkowników zawierające administratorskie klucze API w postaci jawnego tekstu (cleartext). Podatność jest sklasyfikowana jako CWE-497 (Exposure of Sensitive System Information to an Unauthorized Sphere), co oznacza, że system ujawnia chronione informacje podmiotom, które nie powinny mieć do nich dostępu.
Atakujący posiadający dowolne konto w systemie może uzyskać klucze API administratora i przejąć pełną kontrolę administracyjną nad Nagios Log Server, co obejmuje wysoką poufność, integralność oraz dostępność systemu i powiązanych zasobów.
Należy zaktualizować Nagios Log Server do wersji 2024R1.3.2 lub nowszej. Szczegóły dotyczące patcha dostępne są w changelogu producenta pod adresem https://www.nagios.com/changelog/#log-server
Nagios Log Server we wszystkich wersjach przed 2024R1.3.2
Dla tej podatności dostępny jest publiczny exploit w bazie Exploit-DB (https://www.exploit-db.com/exploits/52177). Podatność jest śledzona wewnętrznie przez producenta pod identyfikatorem GL:NLS#475.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HNagios Log Server
APPNagios2024< 2024
Powiązane podatności
RCE w Nagios Log Server — code injection przez malformed dashboard ID
Nagios Log Server: uruchamianie Logstash z uprawnieniami root (privilege escalation)
Nagios Log Server versions prior to 2026R1.0.1 are vulnerable to local privilege escalation due to a combinati...
Nagios Log Server versions prior to 2026R1.0.1 contain an authenticated command injection vulnerability in the...
Nagios Log Server versions prior to 2024R1 contain an incorrect authorization vulnerability. Users who lacked ...