Nagios XI – Fehlende Autorisierung bei aktivierten unsicheren Logins

Beschreibung

Nagios XI vor Version 2024R1.1.2 enthält eine fehlende Autorisierungskontrolle, wenn die Option „Allow Insecure Logins“ aktiviert ist. In dieser Konfiguration kann jeder Benutzer ohne ordnungsgemässe Autorisierung gültige Anmeldedaten für andere Benutzer erstellen. Dies kann je nach Zielkonto zur unbefugten Kontoerstellung, Rechteausweitung oder vollständigen Kompromittierung der Weboberfläche führen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Nagios XI 2024R1.1.2 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Nagios XI / Nagios Core

• Nagios XI – OS Command Injection KEV CVE-2021-25297
• Nagios XI – OS Command Injection KEV CVE-2021-25298
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• Nagios XI – Remote Code Execution KEV CVE-2019-15949
• Nagios XI – SQL-Injection im Core Configuration Manager (CCM) CVE-2012-10063
• Nagios XI versions prior to 2024R1.1.3 did not invalidate all other active sessions for a user when that user's password was changed. As a result, any pre-existing sessions (including those potentially controlled by an attacker) remained valid after a credential update. This insufficient session expiration could allow continued unauthorized access to user data and actions even after a password change. CVE-2024-13996