PT-2021-22866 · Nagios Xi · Nagios Xi

Arianeblow · Publicado 2021-10-26 · Atualizado 2022-11-08 · CVE-2021-40345

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Nagios XI versão 5.8.5

Descrição

Foi detectada uma falha na seção “Gerenciar Dashlets” do painel de administração, onde um administrador pode fazer upload de arquivos ZIP. Uma injeção de comando, contida no nome do primeiro arquivo do pacote, permite que um invasor execute comandos do sistema.

Recomendações

Para o Nagios XI versão 5.8.5, considere restringir o acesso à seção Gerenciar Dashlets do painel de administração para minimizar o risco de exploração. Como solução temporária, evite fazer upload de arquivos ZIP até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2021-40345

Produtos afetados

Nagios Xi

Referências · 9

• 🔥 https://github.com/ArianeBlow/NagiosXI-EmersonFI/blob/main/README.md · Exploit
• 🔥 https://synacktiv.com/sites/default/files/2021-10/Nagios_XI_multiple_vulnerabilities_0.pdf · Exploit
• https://t.me/cvenotify/22415 · Publicação no Telegram
• https://synacktiv.com · Nota
• https://osv.dev/vulnerability/CVE-2021-40345 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-40345 · Nota de Segurança
• https://t.me/cvenotify/37238 · Publicação no Telegram
• https://t.me/cibsecurity/31199 · Publicação no Telegram
• https://assets.nagios.com/downloads/nagiosxi/CHANGES-5.TXT · Aviso do Fabricante