Nagios XI versions prior to 2024R1.1.3 did not invalidate all other active sessions for a user when that user's password was changed. As a result, any pre-existing sessions (including those potentially controlled by an attacker) remained valid after a credential update. This insufficient session expiration could allow continued unauthorized access to user data and actions even after a password change.

Beschreibung

In Nagios XI vor Version 2024R1.1.3 wurden beim Ändern eines Benutzerpassworts nicht alle anderen aktiven Sitzungen dieses Benutzers ungültig gemacht. Dadurch blieben bereits bestehende Sitzungen, auch solche unter der Kontrolle eines Angreifers, nach einer Änderung der Zugangsdaten weiterhin gültig. Diese unzureichende Sitzungsbeendigung kann auch nach einem Passwortwechsel fortgesetzten unbefugten Zugriff auf Benutzerdaten und -aktionen ermöglichen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version 2024R1.1.3 aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Nagios XI / Nagios Core

• Nagios XI – OS Command Injection KEV CVE-2021-25297
• Nagios XI – OS Command Injection KEV CVE-2021-25298
• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• Nagios XI – Remote Code Execution KEV CVE-2019-15949
• Nagios XI – SQL-Injection im Core Configuration Manager (CCM) CVE-2012-10063
• Nagios XI – Fehlende Autorisierung bei aktivierten unsicheren Logins CVE-2024-13994