Nhiều lỗ hổng bảo mật đã được tiết lộ trong phần mềm giám sát mạng Nagios XI có thể dẫn đến việc leo thang đặc quyền và tiết lộ thông tin.
Bốn lỗ hổng bảo mật, được theo dõi từ CVE-2023-40931 đến CVE-2023-40934, ảnh hưởng đến Nagios XI phiên bản 5.11.1 trở xuống. Sau khi tiết lộ có trách nhiệm vào ngày 4 tháng 8 năm 2023, Chúng đã được vá lỗi kể từ ngày 11 tháng 9 năm 2023 với việc phát hành phiên bản 5.11.2.
Nhà nghiên cứu Astrid Tedenbrant của Outpost24 cho biết: “Ba trong số các lỗ hổng này (CVE-2023-40931, CVE-2023-40933 và CVE-2023-40934) cho phép người dùng, với nhiều cấp độ đặc quyền khác nhau, truy cập vào các trường cơ sở dữ liệu thông qua SQL Tiêm ” .
“Dữ liệu thu được từ các lỗ hổng này có thể được sử dụng để nâng cao hơn nữa các đặc quyền trong sản phẩm và lấy dữ liệu nhạy cảm của người dùng như băm mật khẩu và mã thông báo API.”
Mặt khác, CVE-2023-40932 liên quan đến lỗ hổng cross-site scripting (XSS) trong thành phần Logo tùy chỉnh có thể được sử dụng để đọc dữ liệu nhạy cảm, bao gồm cả mật khẩu văn bản rõ ràng từ trang đăng nhập.
Danh sách các sai sót được mô tả dưới đây -
- CVE-2023-40931 - Chèn SQL vào điểm cuối xác nhận biểu ngữ
- CVE-2023-40932 - Tập lệnh chéo trang trong thành phần logo tùy chỉnh
- CVE-2023-40933 - Chèn SQL vào cài đặt biểu ngữ thông báo
- CVE-2023-40934 - Chèn SQL vào nâng cấp máy chủ/dịch vụ trong Trình quản lý cấu hình lõi (CCM)
Việc khai thác thành công ba lỗ hổng SQL SQL có thể cho phép kẻ tấn công được xác thực thực thi các lệnh SQL tùy ý, trong khi lỗi XSS có thể bị khai thác để chèn JavaScript tùy ý cũng như đọc và sửa đổi dữ liệu trang.
Đây không phải là lần đầu tiên vấn đề bảo mật được phát hiện trên Nagios XI. Vào năm 2021, Skylight Cyber và Claroty đã phát hiện ra tới hai chục lỗ hổng có thể bị lợi dụng để chiếm quyền điều khiển cơ sở hạ tầng và thực thi mã từ xa.