Se han revelado hasta 11 vulnerabilidades de seguridad en los sistemas de administración de red de Nagios, algunas de las cuales podrían encadenarse para lograr la ejecución remota de código previamente autenticado con los privilegios más altos, además de conducir al robo de credenciales y ataques de phishing.

 
Nagios Core es una popular herramienta de salud de red de código abierto análoga a SolarWinds Network Performance Monitor (NPM) que se utiliza para controlar la infraestructura de TI en caso de problemas de rendimiento y enviar alertas después de fallas de componentes de misión crítica. Nagios XI, una plataforma patentada basada en web construida sobre Nagios Core, brinda a las organizaciones un conocimiento extendido de sus operaciones de TI con monitoreo escalable y una descripción general personalizable de alto nivel de hosts, servicios y dispositivos de red.

• Claroty ha descubierto 11 vulnerabilidades de seguridad en productos Nagios que podrían permitir a un atacante la ejecución remota de código con altos privilegios, provocar el robo de credenciales o realizar ataques de phishing.
  

La firma de ciberseguridad industrial Claroty, que descubrió los errores, dijo que los errores en las herramientas como Nagios las convierten en un objetivo atractivo debido a su "supervisión de servidores centrales, dispositivos y otros componentes críticos en la red empresarial". Desde entonces, los problemas se han solucionado en las actualizaciones lanzadas en agosto con Nagios XI 5.8.5 o superior, Nagios XI Switch Wizard 2.5.7 o superior, Nagios XI Docker Wizard 1.13 o superior, y Nagios XI WatchGuard 1.4.8 o superior.

Versiones y productos afectados:

•     Nagios XI, versiones anteriores a la 5.8.5;
•     Nagios XI Docker Wizard, versiones anteriores a la 1.1.3;
•     Nagios XI WatchGuard Wizard, versiones anteriores a la 1.4.8;
•     Nagios XI Switch Wizard, versiones anteriores a la 2.5.7.

Solución - Actualizar:

•     Nagios XI, a la versión 5.8.5;
•     Nagios XI Docker Wizard, a la versión 1.1.3;
•     Nagios XI WatchGuard Wizard, a la versión 1.4.8;
•     Nagios XI Switch Wizard, a la versión 2.5.7.

https://www.nagios.com/products/security/

Múltiples vulnerabilidades en productos Nagios

Los principales problemas son dos fallas de ejecución remota de código (CVE-2021-37344, CVE-2021-37346) en Nagios XI Switch Wizard y Nagios XI WatchGuard Wizard, una vulnerabilidad de inyección SQL (CVE-2021-37350) en Nagios XI, y una falsificación de solicitud del lado del servidor (SSRF) que afecta a Nagios XI Docker Wizard, así como un RCE post-autenticado en la herramienta Auto-Discovery de Nagios XI. La lista completa de 11 defectos es la siguiente:

•     CVE-2021-37343 (puntuación CVSS: 8.8): existe una vulnerabilidad de recorrido de ruta en Nagios XI por debajo del componente de AutoDiscovery de la versión 5.8.5 y podría conducir a un RCE post-autenticado en el contexto de seguridad del usuario que ejecuta Nagios.
•     CVE-2021-37344 (puntuación CVSS: 9,8): el asistente de conmutación de Nagios XI anterior a la versión 2.5.7 es vulnerable a la ejecución remota de código a través de la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (inyección de comando del sistema operativo).
•     CVE-2021-37345 (puntuación CVSS: 7.8) - Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios locales porque xi-sys.cfg se está importando desde el directorio var para algunos scripts con permisos elevados.
•     CVE-2021-37346 (puntuación CVSS: 9.8) - Nagios XI WatchGuard Wizard antes de la versión 1.4.8 es vulnerable a la ejecución remota de código a través de la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (inyección de comando del sistema operativo).
•     CVE-2021-37347 (puntuación CVSS: 7.8) - Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios local porque getprofile.sh no valida el nombre de directorio que recibe como argumento.
•     CVE-2021-37348 (puntuación CVSS: 7.5): Nagios XI antes de la versión 5.8.5 es vulnerable a la inclusión de archivos locales a través de una limitación incorrecta de un nombre de ruta en index.php.
•     CVE-2021-37349 (puntuación CVSS: 7.8) - Nagios XI antes de la versión 5.8.5 es vulnerable a la escalada de privilegios local porque cleaner.php no desinfecta la entrada leída de la base de datos.
•     CVE-2021-37350 (puntuación CVSS: 9.8): Nagios XI antes de la versión 5.8.5 es vulnerable a la vulnerabilidad de inyección SQL en Bulk Modifications Tool debido a una desinfección de entrada incorrecta.
•     CVE-2021-37351 (puntuación CVSS: 5.3): Nagios XI antes de la versión 5.8.5 es vulnerable a permisos inseguros y permite a los usuarios no autenticados acceder a páginas protegidas a través de una solicitud HTTP diseñada al servidor.
•     CVE-2021-37352 (puntuación CVSS: 6.1): existe una vulnerabilidad de redireccionamiento abierto en Nagios XI anterior a la versión 5.8.5 que podría provocar suplantación de identidad. Para aprovechar la vulnerabilidad, un atacante podría enviar un enlace que tenga una URL especialmente diseñada y convencer al usuario de que haga clic en el enlace.
•     CVE-2021-37353 (puntaje CVSS: 9.8) - Nagios XI Docker Wizard antes de la versión 1.1.3 es vulnerable a SSRF debido a una desinfección incorrecta en table_population.php

Prevenir ataques de ransomware

En pocas palabras, los atacantes podrían combinar las fallas para soltar un shell web o ejecutar scripts PHP y elevar sus privilegios a root, logrando así la ejecución de comandos arbitrarios en el contexto del usuario root. Como prueba de concepto, Claroty encadenó CVE-2021-37343 y CVE-2021-37347 para obtener una primitiva de escritura en qué lugar, lo que permite a un atacante escribir contenido en cualquier archivo del sistema.

Fuentes:

https://claroty.com/2021/09/21/blog-research-securing-network-management-systems-nagios-xi

https://thehackernews.com/2021/09/new-nagios-software-bugs-could-let.html

https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-productos-nagios