← voltar
CVE-2021-25297

CVE-2021-25297

CVSS 8.8 HIGHEPSS 40.6%● KEVCWE-78
Em resumo

O Nagios XI versão 5.7.5 possui uma falha que permite usuários autenticados executar comandos perigosos no servidor através de requisições especialmente criadas. Um atacante com acesso de login pode controlar todo o sistema.

Detalhe técnico

Vulnerabilidade de injeção de comando OS em /usr/local/nagiosxi/html/includes/configwizards/switch/switch.inc.php causada por sanitização insuficiente da entrada de usuários autenticados. Um atacante autenticado pode injetar comandos OS arbitrários através de uma única requisição HTTP, alcançando execução remota de código com privilégios do servidor.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Nagios XI version xi-5.7.5 is affected by OS command injection. The vulnerability exists in the file /usr/local/nagiosxi/html/includes/configwizards/switch/switch.inc.php due to improper sanitization of authenticated user-controlled input by a single HTTP request, which can lead to OS command injection on the Nagios XI server.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/a
PoCs públicas encontradas — 2
cve_referencepacketstormsecurity.com/files/161561/Nagios-XI-5.7.5-Remote-Code-Execution.htmlnão verificadocve_referencepacketstormsecurity.com/files/170924/Nagios-XI-5.7.5-Remote-Code-Execution.htmlnão verificado
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
http://nagios.comhttp://packetstormsecurity.com/files/161561/Nagios-XI-5.7.5-Remote-Code-Execution.htmlhttp://packetstormsecurity.com/files/170924/Nagios-XI-5.7.5-Remote-Code-Execution.htmlhttps://assets.nagios.com/downloads/nagiosxi/versions.phphttps://github.com/fs0c-sh/nagios-xi-5.7.5-bugs/blob/main/README.mdhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-25297https://www.fastly.com/blog/anatomy-of-a-command-injection-cve-2021-25296-7-8-with-metasploit-module-and