CVE-2019-15949
Vulnerabilidad de Ejecución Remota de Código en Nagios XI
- Publicado
- 5 sept 2019
- Actualizado
- 21 oct 2025
- Asignación de CNA
- mitre
- Evidencia observada
- 10 mar 2020
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,5 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Nagios XI en versiones anteriores a la 5.6.6 permite la ejecución remota de comandos como root. La explotación requiere acceso al servidor como usuario nagios, o acceso como usuario administrador a través de la interfaz web. El script getprofile.sh, invocado al descargar un perfil del sistema (profile.php?cmd=download), se ejecuta como root mediante una entrada de sudo sin contraseña; el script ejecuta check_plugin, propiedad del usuario nagios. Un usuario que inició sesión en Nagios XI con permisos para modificar complementos, o el usuario de nagios en el servidor, puede modificar el ejecutable check_plugin e insertar comandos maliciosos para ejecutar como root.
Fuentes
- Nagios XI ScannerMódulo
modules/auxiliary/scanner/http/nagios_xi_scanner.rb
Metasploit Framework modulesCondiciones declaradas
- verification: check_not_declared($.auxiliary_scanner/http/nagios_xi_scanner.check)
modules/exploits/linux/http/nagios_xi_plugins_check_plugin_authenticated_rce.rb
Metasploit Framework modulesCondiciones declaradas
- platform: Linux,Unix($.exploit_linux/http/nagios_xi_plugins_check_plugin_authenticated_rce.platform)
- verification: check_declared($.exploit_linux/http/nagios_xi_plugins_check_plugin_authenticated_rce.check)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.