漏洞预警 | Nagios XI SQL注入、XSS漏洞

0x00 漏洞编号

• CVE-2023-40931

• CVE-2023-40932

• CVE-2023-40933

• CVE-2023-40934

0x01 危险等级

• 高危
  

0x02 漏洞概述

Nagios XI是一种流行且广泛使用的商业监控解决方案，适用于IT基础设施和网络监控。它是开源Nagios Core监控平台的商业版本，并提供了附加功能来简化管理复杂IT环境的过程。

0x03 漏洞详情

CVE-2023-40931

漏洞类型：SQL注入

影响：获取敏感信息

简述：Nagios XI在5.11.0-5.11.1版本的Announcement Banners功能在Banner确认端点中易受SQL注入漏洞的影响，经过身份验证的威胁者可通过发送到/nagiosxi/admin/banner_message-ajaxhelper.php的POST请求中的ID参数执行SQL注入攻击，从而导致敏感信息泄露。

CVE-2023-40932

漏洞类型：XSS

影响：窃取凭据

简述：Nagios XI在自定义Logo组件中存在跨站脚本漏洞，可以访问自定义Logo组件的经过身份验证的威胁者可通过alt-text字段注入任意javascript或HTML。这可能会影响所有包含导航栏的页面，包括登录页面，并可能导致威胁者窃取明文凭据。

CVE-2023-40933

漏洞类型：SQL注入

影响：获取敏感信息

简述：Nagios XI的公告Banner设置的管理页面在/nagiosxi/admin/bbanner message-ajaxhelper.php端点中存在SQL注入漏洞，具有公告Banner配置权限的经过身份验证的威胁者可通过update_banner_message（）函数的ID参数执行SQL注入攻击，从而导致敏感信息泄露。

CVE-2023-40934

漏洞类型：SQL注入

影响：获取敏感信息

简述：Nagios XI中存在SQL注入漏洞，具有在核心配置管理器中管理主机升级权限的经过身份验证的威胁者可通过发送到/nagiosxi/includes/components/ccm/index.php端点的POST请求中的tfFirstNotif、tfLastNotif或tfNotifInterval参数执行SQL注入攻击，从而导致敏感信息泄露。

0x04 影响版本

• Nagios XI <= 5.11.1

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://www.nagios.com/

原文始发于微信公众号（浅安安全）：漏洞预警 | Nagios XI SQL注入、XSS漏洞