Nagios XI / Nagios Core Seite 2

In Nagios XI vor Version 5.5.7 besteht eine Schwachstelle in der MRTG-Grafikkomponente: MRTG-bezogene Prozesse und Skripte laufen mit übermässigen Rechten. Ein lokaler Angreifer mit eingeschränktem Systemzugriff kann Datei- oder Befehlsausführungspfade sowie beschreibbare Ressourcen missbrauchen, um erhöhte Rechte zu erlangen. CVSS-Basiswert: 7.8 (Hoch).

Nagios Network Analyzer prüft in Versionen vor 2024R2.0.1 bei der Löschung von LDAP-Zertifikaten die Eingaben nicht ausreichend. Ein authentifizierter Administrator kann dadurch auf dem zugrundeliegenden Host im Kontext des Webanwendungsdienstes Befehle ausführen, was zu Remote Code Execution mit den Rechten des Dienstes führt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2024R2.0.1 oder neuer.

In Nagios XI vor Version 2026R1 besteht im Run-Check-Befehl des Core Config Manager (CCM) eine Schwachstelle durch unzureichende Validierung bzw. Escaping von Parametern beim Aufbau der Backend-Kommandozeilen. Ein authentifizierter Administrator kann dadurch Shell-Metazeichen einschleusen, die auf dem Server ausgeführt werden. Erfolgreiche Ausnutzung führt zur Ausführung beliebiger Befehle mit den Rechten der Nagios-XI-Webanwendung und kann zur Übernahme des zugrundeliegenden Host-Betriebssystems genutzt werden. CVSS-Basiswert: 7.2 (Hoch).

Nagios XI enthält vor Version 5.6.14 eine SQL-Injection-Schwachstelle auf der Seite des SNMP-Trap-Interfaces. Ausnutzung setzt ein Konto mit administrativen Rechten voraus, das Zugriff auf die betroffene Oberfläche hat. Ein Benutzer mit diesem Zugriff kann präparierte Eingaben einschleusen, die nicht ausreichend bereinigt werden, wodurch Anwendungsdaten unautorisiert offengelegt oder verändert oder beliebige SQL-Befehle gegen die Backend-Datenbank ausgeführt werden können. CVSS-Basiswert: 7.2 (Hoch).

In Nagios XI vor Version 5.7.5 besteht auf der Bearbeitungsseite des SNMP-Trap-Interface eine SQL-Injection-Schwachstelle. Die Ausnutzung setzt ein Konto mit administrativen Rechten voraus, das Zugriff auf die betroffene Oberfläche hat. Ein Angreifer mit solchem Zugriff kann präparierte Eingaben einschleusen, die nicht ordnungsgemäss bereinigt werden, wodurch Anwendungsdaten unautorisiert offengelegt oder verändert oder beliebige SQL-Befehle gegen die Datenbank ausgeführt werden können. CVSS-Basiswert: 7.2 (Hoch).

Nagios XI enthält in Versionen vor 2011R1.9 Schwachstellen zur Rechteausweitung in den Skripten, die Crontab-Einträge installieren oder aktualisieren. Aufgrund von Time-of-Check-Time-of-Use-Race-Conditions sowie fehlender Synchronisierung und Pfadvalidierung kann ein lokaler, niedrig privilegierter Benutzer den Dateisystemzustand während der Crontab-Installation manipulieren und so Dateien oder Befehle mit erhöhten Rechten ausführen lassen. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: Update auf Version 2011R1.9 oder höher.

Nagios Fusion v2024R1.2 und v2024R2 macht bereits bestehende Session-Token bei aktivierter Zwei-Faktor-Authentifizierung nicht ungültig, wodurch Angreifer einen Session-Hijacking-Angriff durchführen können. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

In der OTP-Verifikationskomponente von Nagios Fusion v2024R1.2 und v2024R2 fehlt ein Rate-Limiting. Angreifer können dadurch mittels Bruteforce-Angriff die Authentifizierung umgehen. CVSS-Basiswert: 7.6 (Hoch).

Nagios Log Server vor Version 2024R1.3.2 erlaubt authentifizierten Benutzern mit reinem Lesezugriff auf die API, den Elasticsearch-Dienst über einen Aufruf von /nagioslogserver/index.php/api/system/stop?subsystem=elasticsearch zu stoppen. Der Dienst hält an, obwohl die API-Antwort eine Meldung enthält, dass Elasticsearch nicht gestoppt werden konnte. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2024R1.3.2 oder neuer.

Nagios XI vor 2026R1 ist in den Assistenten für MongoDB, MySQL und Postgres für authentifizierte Command Injection anfällig. Ein Angreifer kann Shell-Zeichen in Argumente einschleusen und beliebige Systembefehle als Nutzer nagios ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Nagios XI 2026R1 oder neuer.

In Nagios Network Analyzer 2024R1.0.3 führt laut NVD eine fehlerhafte Zugriffskontrolle dazu, dass gelöschte Benutzerkonten weiterhin Zugriff auf Systemressourcen behalten. Ursache ist eine unzureichende Session-Invalidierung und veraltete Token-Verwaltung: Löscht ein Administrator ein Benutzerkonto, werden aktive Sitzungen nicht beendet und zugehörige API-Tokens nicht widerrufen, wodurch unbefugter Zugriff auf eingeschränkte Funktionen möglich bleibt. CVSS-Basiswert: 7.5 (Hoch).

In Nagios Log Server v2024R1.3.1 besteht eine Cross-Site-Scripting-Schwachstelle. Ein entfernter Angreifer kann über eine Payload im E-Mail-Feld beliebigen Code ausführen. CVSS-Basiswert: 8.3 (Hoch).

Nagios NDOUtils vor Version 2.1.4 erlaubt eine Rechteausweitung vom Benutzer nagios zu root, weil bestimmte ausführbare Dateien dem Benutzer nagios gehören. Für die Ausnutzung ist lokaler Zugriff mit niedrigen Rechten nötig, eine Benutzerinteraktion ist nicht erforderlich. Eine erfolgreiche Ausnutzung gefährdet Vertraulichkeit, Integrität und Verfügbarkeit des Systems. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf NDOUtils 2.1.4 oder neuer aktualisieren.

In Nagios XI Version 5.11.1 und älter besteht eine SQL-Injection-Schwachstelle. Authentifizierte Angreifer mit Konfigurationsrechten für das Ankündigungsbanner können über den ID-Parameter der Funktion update_banner_message() beliebige SQL-Befehle ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine korrigierte Nagios-XI-Version.

In Nagios XI bis Version 5.11.1 besteht eine SQL-Injection-Schwachstelle in den Benachrichtigungseinstellungen für Host-Eskalationen im Core Configuration Manager. Betroffen sind laut NVD authentifizierte Angreifer mit Berechtigung zur Verwaltung von Host-Eskalationen, die dadurch beliebige SQL-Befehle ausführen können. CVSS-Basiswert: 7.2 (Hoch).

Die Linuxfabrik monitoring-plugins stellen Python-Monitoring-Plugins für Icinga, Nagios und verwandte Monitoring-Systeme bereit. In Version 6.0.0 und früher bauen die redfish-*-Plugins Anfrage-URLs durch Aneinanderreihung (Konkatenation) auf; weitere Angaben zur genauen Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt nicht vor.

Die Linuxfabrik monitoring-plugins stellen Python-Monitoring-Plugins für Icinga, Nagios und verwandte Monitoring-Systeme bereit. In Version 6.0.0 verschiebt die Legacy-Datenbank-Migration des Logfile-Checks Daten an einen vorhersagbaren Pfad; weitere Details zur Auswirkung liegen in den Quelldaten nicht vor. Zu dieser Schwachstelle liegen weder ein CVSS-Basiswert noch eine EPSS-Angabe vor.