CVE-2024-24401

Отчёт об уязвимости CVE Обнаружено

(РАЗРАБОТАНО ДЛЯ ЗАПУСКА НА KALI LINUX)

Примечания Nagios исправил версию 2024R1.0.1 во всех последних загрузках. Чтобы определить, уязвима ли цель, убедитесь, что они используют более старую загрузку версии 2024R1.0.1.

Обновлённый скрипт проверяет, уязвима ли целевая система

Детали уязвимости: Endpoint: /nagiosxi//config/monitoringwizard.php Nagios XI Version 2024R1.0.1 Тип уязвимости: Аутентифицированная SQL-инъекция Результат эксплуатации: Создание учётной записи администратора и полное удалённое выполнение кода Подтверждение концепции: Прилагается Python-скрипт, демонстрирующий уязвимость

Рекомендация: Чтобы снизить риск SQL-инъекции, настоятельно рекомендуется использовать параметризованные запросы или подготовленные выражения при взаимодействии с базами данных. Параметризованные запросы гарантируют, что пользовательский ввод обрабатывается как данные, а не как исполняемый код, что значительно затрудняет злоумышленникам внедрение вредоносных SQL-выражений.