Se han revelado hasta 11 vulnerabilidades de seguridad en los sistemas de administración de red de Nagios, algunas de las cuales podrían encadenarse para lograr la ejecución remota de código previamente autenticado con los privilegios más altos, además de conducir al robo de credenciales y ataques de phishing.
La firma de ciberseguridad industrial Claroty, que descubrió las fallas, dijo que las fallas en herramientas como Nagios las convierten en un objetivo atractivo debido a su “supervisión de servidores centrales, dispositivos y otros componentes críticos en la red empresarial”. Desde entonces, los problemas se han solucionado en las actualizaciones lanzadas en agosto con Nagios XI 5.8.5 o superior, Nagios XI Switch Wizard 2.5.7 o superior, Nagios XI Docker Wizard 1.13 o superior, y Nagios XI WatchGuard 1.4.8 o superior.
“SolarWinds y Kaseya probablemente fueron el objetivo no solo por sus grandes e influyentes bases de clientes, sino también por el acceso de sus respectivas tecnologías a las redes empresariales, ya sea para la gestión de TI, tecnología operativa (OT) o Internet de las cosas (IoT). dispositivos “, dijo Noam Moshe de Claroty en un artículo publicado el martes, señalando cómo las intrusiones dirigidas a las cadenas de suministro de administración de redes y TI surgieron como un conducto para comprometer a miles de víctimas posteriores.
Nagios Core es una popular herramienta de salud de red de código abierto análoga a SolarWinds Network Performance Monitor (NPM) que se utiliza para controlar la infraestructura de TI en caso de problemas de rendimiento y enviar alertas después de fallas de componentes de misión crítica. Nagios XI, una plataforma patentada basada en web construida sobre Nagios Core, brinda a las organizaciones un conocimiento extendido de sus operaciones de TI con monitoreo escalable y una descripción general personalizable de alto nivel de hosts, servicios y dispositivos de red.
Los principales problemas son dos fallas de ejecución remota de código (CVE-2021-37344, CVE-2021-37346) en Nagios XI Switch Wizard y Nagios XI WatchGuard Wizard, una vulnerabilidad de inyección SQL (CVE-2021-37350) en Nagios XI, y una falsificación de solicitud del lado del servidor (SSRF) que afecta a Nagios XI Docker Wizard, así como un RCE post-autenticado en la herramienta Auto-Discovery de Nagios XI. La lista completa de 11 defectos es la siguiente:
- CVE-2021-37343 (puntuación CVSS: 8.8) – Existe una vulnerabilidad de recorrido de ruta en Nagios XI por debajo del componente de AutoDiscovery de la versión 5.8.5 y podría conducir a un RCE post-autenticado bajo el contexto de seguridad del usuario que ejecuta Nagios.
- CVE-2021-37344 (puntuación CVSS: 9,8): el asistente de conmutación de Nagios XI anterior a la versión 2.5.7 es vulnerable a la ejecución remota de código a través de la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (inyección de comando del sistema operativo).
- CVE-2021-37345 (puntuación CVSS: 7.8) – Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios locales porque xi-sys.cfg se está importando desde el directorio var para algunos scripts con permisos elevados.
- CVE-2021-37346 (puntuación CVSS: 9.8) – Nagios XI WatchGuard Wizard antes de la versión 1.4.8 es vulnerable a la ejecución remota de código a través de la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (inyección de comando del sistema operativo).
- CVE-2021-37347 (puntuación CVSS: 7.8) – Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios local porque getprofile.sh no valida el nombre de directorio que recibe como argumento.
- CVE-2021-37348 (puntuación CVSS: 7.5): Nagios XI antes de la versión 5.8.5 es vulnerable a la inclusión de archivos locales a través de una limitación incorrecta de un nombre de ruta en index.php.
- CVE-2021-37349 (puntuación CVSS: 7.8) – Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios local porque cleaner.php no desinfecta la entrada leída de la base de datos.
- CVE-2021-37350 (puntuación CVSS: 9.8): Nagios XI antes de la versión 5.8.5 es vulnerable a la vulnerabilidad de inyección SQL en Bulk Modifications Tool debido a una desinfección de entrada incorrecta.
- CVE-2021-37351 (puntuación CVSS: 5.3): Nagios XI antes de la versión 5.8.5 es vulnerable a permisos inseguros y permite a los usuarios no autenticados acceder a páginas protegidas a través de una solicitud HTTP diseñada al servidor.
- CVE-2021-37352 (puntuación CVSS: 6.1): existe una vulnerabilidad de redireccionamiento abierto en Nagios XI anterior a la versión 5.8.5 que podría provocar suplantación de identidad. Para aprovechar la vulnerabilidad, un atacante podría enviar un enlace que tenga una URL especialmente diseñada y convencer al usuario de que haga clic en el enlace.
- CVE-2021-37353 (puntaje CVSS: 9.8) – Nagios XI Docker Wizard antes de la versión 1.1.3 es vulnerable a SSRF debido a una desinfección incorrecta en table_population.php
En pocas palabras, los atacantes podrían combinar las fallas para soltar un shell web o ejecutar scripts PHP y elevar sus privilegios a root, logrando así la ejecución de comandos arbitrarios en el contexto del usuario root. Como prueba de concepto, Claroty encadenó CVE-2021-37343 y CVE-2021-37347 para obtener una primitiva de escritura en qué lugar, lo que permite a un atacante escribir contenido en cualquier archivo del sistema.
“[Los sistemas de administración de red] requieren una gran confianza y acceso a los componentes de la red para monitorear adecuadamente el comportamiento y el rendimiento de la red en busca de fallas y poca eficiencia”, dijo Moshe.
“También pueden extenderse fuera de su red a través del firewall para atender las conexiones y servidores remotos. Por lo tanto, estos sistemas centralizados pueden ser un blanco atractivo para los atacantes que pueden aprovechar este tipo de concentrador de red e intentar comprometerlo para acceder a manipular y perturbar otros sistemas “.
La divulgación es la segunda vez que se divulgan casi una docena de vulnerabilidades en Nagios. A principios de este mes de mayo, Skylight Cyber reveló 13 debilidades de seguridad en la aplicación de monitoreo de red que podrían ser abusadas por un adversario para secuestrar la infraestructura sin la intervención del operador.
Fuente: The Hacker News
