CVE-2025-34134 in Nagios
要約
〜によって VulDB • 2026年06月09日
Nagios XIの2024R1.4.2より前のバージョンには、Business Process Intelligence (BPI) コンポーネントにおけるリモートコード実行（RCE）の脆弱性が存在します。管理者が制御するBPI設定パラメータ（特にbpi_logfileおよびbpi_configfile）の検証およびサニタイズ処理が不十分であるため、認証済み管理者ユーザーは、Webルート内でのファイルの作成または上書きを引き起こし、その後BPI設定エディタを介してそれらのファイルを編集することができます。これらのファイルが実行可能な拡張子を持ち、Webアプリケーションによって提供される場合、Webアプリケーションユーザーのコンテキストで任意のコードが実行される可能性があります。攻撃が成功すると、Nagios XI Webアプリケーションユーザーの権限で任意のコマンドが実行され、基盤となるホストオペレーティングシステムに対するさらなる制御の獲得に悪用される可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.