CVE-2025-34134
Açıklama
Nagios XI'in 2024R1.4.2 öncesindeki sürümleri, Business Process Intelligence (BPI) bileşeninde bir uzaktan kod çalıştırma zafiyeti içermektedir. Yönetici tarafından kontrol edilen BPI yapılandırma parametrelerinin (özellikle bpi_logfile ve bpi_configfile) yetersiz doğrulanması ve temizlenmesi, kimliği doğrulanmış bir yönetici kullanıcısının ürünün webroot dizini içinde dosyalar oluşturmasına veya üzerine yazmasına ve ardından bunları BPI yapılandırma düzenleyicisi aracılığıyla düzenlemesine olanak tanır. Bu tür dosyalar yürütülebilir uzantılara sahip olduğunda ve web uygulaması tarafından sunulduğunda, web uygulaması kullanıcısı bağlamında rastgele kod çalıştırılabilir. Başarılı istismar, Nagios XI web uygulaması kullanıcısının ayrıcalıklarıyla rastgele komut çalıştırılmasıyla sonuçlanır ve temel ana bilgisayar işletim sisteminin daha fazla kontrolünü sağlamak için kullanılabilir.
Nasıl düzeltilir
- nagios nagios_xi2024 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nagios nagios_xi | v < 2024, 2024 | 2024 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.