CVE-2025-44823

Uwierzytelniony użytkownik (niezależnie od poziomu uprawnień) może wykonać żądanie HTTP GET do endpointu /nagioslogserver/index.php/api/system/get_users. W odpowiedzi serwer zwraca dane użytkowników zawierające administratorskie klucze API w postaci jawnego tekstu (cleartext). Podatność jest sklasyfikowana jako CWE-497 (Exposure of Sensitive System Information to an Unauthorized Sphere), co oznacza, że system ujawnia chronione informacje podmiotom, które nie powinny mieć do nich dostępu.

Atakujący posiadający dowolne konto w systemie może uzyskać klucze API administratora i przejąć pełną kontrolę administracyjną nad Nagios Log Server, co obejmuje wysoką poufność, integralność oraz dostępność systemu i powiązanych zasobów.

Należy zaktualizować Nagios Log Server do wersji 2024R1.3.2 lub nowszej. Szczegóły dotyczące patcha dostępne są w changelogu producenta pod adresem https://www.nagios.com/changelog/#log-server

Nagios Log Server we wszystkich wersjach przed 2024R1.3.2

Dla tej podatności dostępny jest publiczny exploit w bazie Exploit-DB (https://www.exploit-db.com/exploits/52177). Podatność jest śledzona wewnętrznie przez producenta pod identyfikatorem GL:NLS#475.