Les plateformes de monitoring sont des applications web dotées de deux propriétés qui en font des cibles de premier choix : elles stockent des identifiants pour atteindre chaque système surveillé (identifiants d'équipements, chaînes SNMP, secrets de bases de données et de cloud), et beaucoup d'entre elles exécutent des commandes sur les hôtes surveillés en guise de fonctionnalité. Le flux d'attaque est le même d'un produit à l'autre : identifier et énumérer la version, obtenir l'accès via des identifiants par défaut ou faibles ou un contournement d'authentification, puis soit exécuter du code (via les fonctionnalités de commande/script de la plateforme elle-même ou une vulnérabilité connue) soit récolter les identifiants stockés. N'importe laquelle de ces voies convertit la compromission d'une seule plateforme en une large portée sur l'environnement.
Sous-thèmes#
- Zabbix : items, scripts, l'agent, et bugs serveur connus.
- Nagios et Icinga : NRPE, injection de commandes, et chaînes Nagios XI.
- PRTG Network Monitor : exécution de code basée sur les notifications.
- Cacti : le RCE récurrent par SQLi et injection de commandes.
- LibreNMS et Observium : injection de commandes et identifiants stockés.
- Grafana : traversée de chemin, SSRF des sources de données, et identifiants stockés.
- Prometheus : interfaces exposées, SSRF, et abus d'exporters.
- SolarWinds Orion : identifiants stockés et chaînes de RCE connues.