CVE-2024-24401

漏洞报告

CVE 发现者：Jarod Jaslow (MAWK)

（设计用于在 KALI LINUX 上运行）

备注

Nagios 已在所有最近的下载中修补了 2024R1.0.1 版本。要判断目标是否存在漏洞，请确保他们使用的是 2024R1.0.1 的旧版下载。

更新后的脚本会检查目标系统是否存在漏洞

OVA NAGIOS 用户凭据：mawk:mawk

下载：https://1drv.ms/u/s!Aj-SNbxrSxWZh51fp476lHxNHGd6jA?e=AX3mJU

漏洞详情：

• 端点： /nagiosxi//config/monitoringwizard.php Nagios XI 版本 2024R1.0.1
• 漏洞类型： 已认证的 SQL 注入
• 利用结果： 管理员账户创建与完全远程代码执行

复现步骤：

1. 创建一个全新的 Nagios XI 版本 2024R1.01 实例。

3. 创建一个具有最低权限的用户。

4. 使用正确的参数执行所提供的 Python 脚本：

   root@kitploit:~

   python3 MawkiNagiosXIPOC.py <target IP>
   

概念验证：

附件为演示该漏洞的 Python 脚本

建议：

为降低 SQL 注入风险，强烈建议在与数据库交互时使用参数化查询或预处理语句。参数化查询可确保用户输入被当作数据处理，而非可执行代码，从而使攻击者更难注入恶意的 SQL 语句。

此问题已在最近的更新中得到缓解

CVE：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-24401