Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.
[TLP:CLEAR] Nagios XI opravuje středně závažnou zranitelnost
Nagios XI verzí 2024R1.1.5 opravuje středně závažnou zranitelnost [1].
Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno vykonat stored XSS útok [1][2]. PoC exploit ke zranitelnosti je zveřejněn na [3].
Zranitelnost se nachází v produktu:
- *:Nagios XI;>=2024R1,<2024R1.1.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Více informací:
- CVE-2024-42898 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 1. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dne 22. 1. 2025.