Nagios XI

Die Schwachstelle betrifft die Netzwerküberwachungs-Software Nagios XI. Sie sitzt in einem bestimmten Skript der Konfigurationsassistenten – konkret im Assistenten für Netzwerk-Switches. Dort wird eine vom Benutzer übermittelte Eingabe nicht ausreichend bereinigt, bevor sie auf Betriebssystemebene verarbeitet wird. Dadurch lässt sich eine sogenannte OS-Befehlsinjektion auslösen: Über eine einzige präparierte HTTP-Anfrage kann ein Angreifer eigene Betriebssystembefehle einschleusen, die der Nagios-XI-Server dann ausführt. Voraussetzung ist allerdings, dass der Angreifer bereits angemeldet ist, denn die manipulierbare Eingabe steht nur einem authentifizierten Nutzer offen. Gelingt der Angriff, kann er beliebige Befehle direkt auf dem Server ausführen und so weit über die eigentlichen Funktionen der Überwachungsoberfläche hinaus Kontrolle über das System erlangen. Betroffen sind Installationen, bei denen Angreifer Zugang zu einem gültigen Benutzerkonto erlangen können.