CVE-2023-7317

Nagios XI – brak kontroli dostępu w Web SSH Terminal (RCE/ujawnienie danych)

CVSS 9.4v4.0pub. 2025-10-30upd. 2025-11-06

Nagios XI w wersjach wcześniejszych niż 2024R1 zawiera krytyczną lukę braku kontroli dostępu w interfejsie Web SSH Terminal. Zdalny atakujący z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do terminala i potencjalnie wykonywać polecenia systemowe lub uzyskiwać dostęp do wrażliwych informacji.

▸ Pokaż oryginał (EN)

Nagios XI versions prior to 2024R1 contain a missing access control vulnerability via the Web SSH Terminal. A remote, low-privileged attacker could access or interact with the terminal interface without sufficient authorization, potentially allowing unauthorized command execution or disclosure of sensitive information.

🤖 Analiza AI

Jak działa

Podatność (CWE-862 – Missing Authorization) polega na tym, że interfejs Web SSH Terminal w Nagios XI nie wymusza odpowiednich mechanizmów autoryzacji przed przyznaniem dostępu do sesji terminalowej. Zdalny, nisko uprzywilejowany użytkownik może uzyskać dostęp do interfejsu terminalowego lub wchodzić z nim w interakcję bez posiadania wymaganych uprawnień. Brak weryfikacji uprawnień oznacza, że samo posiadanie podstawowego konta w systemie może wystarczyć do eksploatacji tej ścieżki dostępu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do sesji terminala SSH, co może prowadzić do wykonania poleceń systemowych (nieautoryzowany command execution) lub ujawnienia wrażliwych informacji przechowywanych w systemie monitoringu. W najgorszym przypadku możliwe jest przejęcie kontroli nad hostem, na którym działa Nagios XI, oraz nad monitorowaną infrastrukturą.

Mitygacja

Należy zaktualizować Nagios XI do wersji 2024R1 lub nowszej. Szczegółowe informacje o patchu dostępne są w oficjalnym changelogu producenta pod adresem https://www.nagios.com/changelog/nagios-xi/ oraz na stronie bezpieczeństwa https://www.nagios.com/products/security/#nagios-xi. Jako doraźny środek zaradczy należy rozważyć ograniczenie dostępu sieciowego do interfejsu Web SSH Terminal wyłącznie do zaufanych hostów i sieci.

Kogo dotyczy

Nagios XI we wszystkich wersjach wcześniejszych niż 2024R1.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X