Checkmkに証明書検証の不備による脆弱性、なりすましのおそれ
Summary
Checkmkの証明書検証に不備があり、秘密鍵が公開されている中間証明書を信頼してしまうおそれがあります。影響を受けるのは2.5.0からの各版で、2.5.0p18・2.4.0p39・2.3.0p52で修正されています。CVSSv4の基本値は7.1で、2.2.0は保守が終了しているため、2.3.0以降への移行を検討してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Checkmkの証明書検証に不備があり、秘密鍵が公開されている中間証明書を信頼してしまうおそれがあります。影響を受けるのは2.5.0からの各版で、2.5.0p18・2.4.0p39・2.3.0p52で修正されています。CVSSv4の基本値は7.1で、2.2.0は保守が終了しているため、2.3.0以降への移行を検討してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Checkmk GmbH | Checkmk |
≥ 2.5.0, < 2.5.0p18 ≥ 2.4.0, < 2.4.0p39 ≥ 2.3.0, < 2.3.0p52 |
2.5.0p18 2.4.0p39 2.3.0p52 |
Original description The description as published by the source.
Improper certificate validation in Checkmk <2.5.0p18, <2.4.0p39, <2.3.0p52 and 2.2.0 (EOL): the Certificate Authority stores bundled with "certifi" and "webpki-roots" include a root CA that trusts eMudhra (emSign) intermediate certificates whose private keys are public.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security@checkmk.com
- web security@checkmk.com
- web security@checkmk.com
- web nvd.nist.gov
- web github.com