Nagios XI est une vaste application web PHP, et son étendue en a fait une source répétée de vulnérabilités graves dans ses composants : injection SQL dans divers points de terminaison, contournements d'authentification et injection de commandes dans les fonctionnalités qui invoquent un shell, souvent enchaînés entre eux. Un schéma courant est une injection SQL non authentifiée ou un contournement d'authentification qui fournit une session administrateur ou une clé d'API, suivi d'une injection de commandes ou d'une fonctionnalité de configuration qui exécute des commandes sur le serveur, atteignant l'exécution de code à distance et, parce que les composants de XI s'exécutent avec des droits élevés, souvent le root. Beaucoup de ces failles sont pré-authentification ou ne requièrent qu'un faible privilège. La méthode consiste à identifier la version exacte de XI et à la faire correspondre à la chaîne applicable, puisque le composant vulnérable et la requête sont propres à chaque version.
# fingerprint XI version, then match to the advisory/chain
curl -sk https://<target>/nagiosxi/ | grep -ioE 'Nagios XI [0-9.]+'
# the chains are version-specific: e.g. unauth SQLi/auth-bypass to recover an admin
# API key or session, then command injection in a config/tool endpoint for RCE.
# match the XI build to the exploit (Metasploit has several Nagios XI modules).
Notes d'exploitation#
- Identifiez d'abord la version de XI ; le composant exploitable (un point de terminaison
.phpprécis, un gestionnaire d'API ou un outil) et le fait qu'il soit pré-authentification ou non sont propres à chaque version, de sorte que la version correspond à la chaîne. - La forme courante est accès-puis-exécution : une injection SQL non authentifiée ou un contournement d'authentification pour obtenir un contexte administrateur, puis une injection de commandes ou une fonctionnalité de script pour la RCE ; identifiez les deux moitiés pour le build ciblé.
- Les composants de XI s'exécutent fréquemment avec des privilèges élevés, de sorte qu'une RCE réussie équivaut souvent au root sur le serveur de supervision, qui détient alors les identifiants de chaque hôte supervisé.
- Metasploit intègre plusieurs chaînes Nagios XI ; là où aucune ne s'applique, la voie de l'injection de commandes authentifiée demeure.