CVE-2019-15949 in Nagios XI
Tóm tắt
Bởi VulDB • 17/08/2026
Nagios XI trước phiên bản 5.6.6 cho phép thực thi lệnh từ xa với quyền root. Proof-of-concept (exploit) yêu cầu truy cập vào máy chủ dưới danh nghĩa người dùng nagios, hoặc truy cập dưới dạng người dùng admin thông qua giao diện web. Tập lệnh getprofile.sh, được kích hoạt bằng cách tải xuống hồ sơ hệ thống (profile.php?cmd=download), được thực thi với quyền root nhờ một mục sudo không yêu cầu mật khẩu; tập lệnh này sẽ chạy check_plugin, vốn thuộc sở hữu của người dùng nagios. Một người dùng đã đăng nhập vào Nagios XI có quyền sửa đổi plugin, hoặc người dùng nagios trên máy chủ, có thể thay đổi tệp thực thi check_plugin và chèn các lệnh độc hại để thực thi với quyền root.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.