Monitoring-Software: Schwachstellen bedrohen IBM Tivoli Monitoring und Nagios XI
Angreifer können IBM Tivoli Monitoring und Nagios XI attackieren und Dateien manipulieren oder sogar Schadcode ausführen. Sicherheitsupdates sind verfügbar.
(Bild: Artur Szczybylo/Shutterstock.com)
Die Monitoring-Softwares IBM Tivoli Monitoring und Nagios XI sind über mehrere Sicherheitslücken angreifbar. Im schlimmsten Fall können Angreifer Systeme vollständig kompromittieren. Für Nagios XI steht ein Patch zum Schließen der Schwachstellen zum Download bereit. Bei IBM Tivoli Monitoring müssen Admins Hand anlegen.
Mit beiden Tools ĂĽberwachen Admins IT-Infrastrukturen. Bislang sind noch keine Berichte zu Attacken bekannt. Trotzdem sollten Admins ihre Instanzen zeitnah absichern.
Dateien manipulierbar
In einer Warnmeldung führen IBMs Entwickler aus, dass entfernte Angreifer mit präparierten URLs an zwei Sicherheitslücken (CVE-2025-3356 "hoch", CVE-2025-3355 "hoch") ansetzen können. Ist eine solche Attacke erfolgreich, können sie im System Dateien einsehen und sogar überschreiben.
Die Schwachstellen stecken konkret in der KT1-Komponente der ITM/ITCAM-Agenten. Dagegen gibt es keinen Patch. Um das Sicherheitsproblem zu lösen, müssen Admins Systeme so umstellen, dass in diesem Kontext ausschließlich TLS-Verbindungen genutzt werden. Wie das geht, steht in einem Supportbeitrag.
Kritische SicherheitslĂĽcken
Die reparierte Nagios-XI-Version 2026R1 ist schon seit Ende September dieses Jahres verfügbar. Weiterführende Informationen zu den darin geschlossenen Sicherheitslücken wurden aber erst jetzt in der National Vulnerability Database veröffentlicht.
Drei Sicherheitslücken (CVE-2025-34286, CVE-2025-34284, CVE-2025-34134) sind mit dem Bedrohungsgrad "kritisch" eingestuft. Aufgrund von unzureichenden Überprüfungen können entfernte Angreifer Schadcode ausführen. Dafür müssen sie aber bereits authentifiziert sein.
Videos by heise
Setzen Angreifer erfolgreich an den verbleibenden Schwachstellen an, können sie sich unter anderem höhere Nutzerrechte verschaffen.
Vergangene Woche sorgte eine SicherheitslĂĽcke in der Monitoring-Software Checkmk fĂĽr Schlagzeilen.
(des)
