CVE-2024-24401

भेद्यता रिपोर्ट

CVE द्वारा खोजा गया: Jarod Jaslow (MAWK)

(काली लिनक्स पर चलाने के लिए डिज़ाइन किया गया)

नोट्स

Nagios ने सभी हालिया डाउनलोड में संस्करण 2024R1.0.1 को पैच कर दिया है। यह निर्धारित करने के लिए कि कोई लक्ष्य असुरक्षित है या नहीं, सुनिश्चित करें कि वे 2024R1.0.1 के पुराने डाउनलोड का उपयोग कर रहे हैं।

अद्यतन स्क्रिप्ट यह जाँचती है कि लक्ष्य प्रणाली असुरक्षित है

OVA NAGIOS उपयोगकर्ता क्रेडेंशियल्स: mawk:mawk

डाउनलोड: https://1drv.ms/u/s!Aj-SNbxrSxWZh51fp476lHxNHGd6jA?e=AX3mJU

असुरक्षा विवरण:

• एंडपॉइंट: /nagiosxi//config/monitoringwizard.php Nagios XI संस्करण 2024R1.0.1
• असुरक्षा प्रकार: प्रमाणित SQL इंजेक्शन
• शोषण परिणाम: व्यवस्थापक खाता निर्माण और पूर्ण दूरस्थ कोड निष्पादन

पुनः उत्पन्न करने के चरण:

1. Nagios XI संस्करण 2024R1.01 की एक नई इंस्टेंस बनाएं।

3. न्यूनतम अनुमतियों वाला एक उपयोगकर्ता बनाएं।

4. दिए गए Python स्क्रिप्ट को सही तर्कों के साथ निष्पादित करें:

   root@kitploit:~

   python3 MawkiNagiosXIPOC.py <target IP>
   

प्रमाण की अवधारणा:

असुरक्षा प्रदर्शित करने वाली Python स्क्रिप्ट संलग्न है

अनुशंसा:

SQL इंजेक्शन के जोखिम को कम करने के लिए, डेटाबेस के साथ इंटरैक्ट करते समय पैरामीटराइज्ड क्वेरी या तैयार स्टेटमेंट का उपयोग करने की दृढ़ता से सलाह दी जाती है। पैरामीटराइज्ड क्वेरी यह सुनिश्चित करती है कि उपयोगकर्ता इनपुट को डेटा माना जाए, न कि निष्पादन योग्य कोड, जिससे हमलावरों के लिए दुर्भावनापूर्ण SQL स्टेटमेंट इंजेक्ट करना अधिक कठिन हो जाता है।

हाल के अद्यतनों में इसे कम किया गया है

CVE:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-24401