CVE-2023-24035: уязвимость в Nagios XI позволяет подбирать пароль администратора по времени отклика
В Nagios XI до версии 5.9.3 обнаружена уязвимость, связанная с небезопасным сравнением строк при аутентификации. Функция is_insecure_login_authenticated использует сравнение, зависящее от времени, что позволяет атакующему подбирать пароль администратора, измеряя разницу во времени отклика. Уязвимость оценена как низкорискованная (CVSS 3.5), но требует внимания администраторов, использующих устаревшие версии продукта.
Подробности
Уязвимость присутствует в Nagios XI версий до 5.9.3 включительно. В функции is_insecure_login_authenticated применяется небезопасное сравнение строк, время выполнения которого зависит от количества совпадающих символов. Такой подход делает возможной атаку по стороннему каналу (timing attack): атакующий отправляет множество запросов и измеряет время отклика сервера, постепенно определяя правильные символы пароля. В сочетании с отсутствием защиты от bruteforce это позволяет подобрать пароль администратора. Согласно оценке CVSS, уязвимость имеет базовый балл 3.5, что соответствует низкому уровню критичности. Столь низкая оценка связана с тем, что эксплуатация требует наличия сетевого доступа к интерфейсу аутентификации, значительного количества запросов и существенных временных затрат, а также с тем, что атака возможна только при определённых условиях конфигурации. Тем не менее, в случае успеха злоумышленник получает полный контроль над системой мониторинга, что может привести к утечке данных об инфраструктуре, отключению оповещений и другим нежелательным последствиям.Что делать
Основная рекомендация — обновить Nagios XI до версии 5.9.3 или более поздней. Разработчики устранили проблему, заменив небезопасное сравнение на криптографически стойкое, не зависящее от времени выполнения. Обновление доступно на официальном сайте Nagios. Если немедленное обновление невозможно, следует применить компенсирующие меры:- Ограничить доступ к веб-интерфейсу Nagios XI по IP-адресам или через VPN;
- Включить многофакторную аутентификацию для всех административных учётных записей;
- Настроить ограничение частоты запросов (rate limiting) на стороне веб-сервера или reverse-proxy;
- Установить сложный пароль администратора и регулярно его менять;
- Включить журналирование неудачных попыток входа и настроить оповещения о подозрительной активности.
Итог
CVE-2023-24035 — классический пример уязвимости, связанной с реализацией аутентификации по времени. Несмотря на низкий балл CVSS, игнорировать её не стоит: в случае успешной эксплуатации атакующий получает доступ к системе мониторинга, которая часто содержит чувствительную информацию о всей ИТ-инфраструктуре организации. Своевременное обновление до Nagios XI 5.9.3 и применение дополнительных мер защиты помогут снизить риски.Источник: CVE Project (cvelistV5)