同じ製品で同じ時期に公表された 3 件の脆弱性の 1 つです。まとめた解説: Checkmkの脆弱性3件 コード実行の恐れ、修正版あり
Checkmkの合成監視でパス・トラバーサルの脆弱性、サイトユーザーとしてコードを実行されるおそれ
概要
Checkmkの合成監視「Robotmk」のテストサービスに、パス・トラバーサルの脆弱性が見つかりました。監視対象ホストの出力を細工されると、生成されるHTMLログの内容と保存場所を操作され、サイトユーザーの権限でコードを実行されるおそれがあります。影響するのは2.5.0p19未満と2.4.0p40未満で、修正版は2.5.0p19と2.4.0p40です。CVSSv4は9.4と深刻度は重大で、早めの更新が必要です。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Checkmkの合成監視「Robotmk」のテストサービスに、パス・トラバーサルの脆弱性が見つかりました。監視対象ホストの出力を細工されると、生成されるHTMLログの内容と保存場所を操作され、サイトユーザーの権限でコードを実行されるおそれがあります。影響するのは2.5.0p19未満と2.4.0p40未満で、修正版は2.5.0p19と2.4.0p40です。CVSSv4は9.4と深刻度は重大で、早めの更新が必要です。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Checkmk GmbHCheckmk |
2.5.0 以上 2.5.0p19 未満→ 2.5.0p19 2.4.0 以上 2.4.0p40 未満→ 2.4.0p40 |
2.5.0p19 2.4.0p40 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Path traversal in the Synthetic Monitoring "Robotmk" test service of Checkmk <2.5.0p19, <2.4.0p40, and 2.3.0 (EOL) allows an attacker who controls the agent output of a monitored host's check output for a host to inject a crafted robot output to define the contents and location for the generated HTML log, leading to code execution as the site user.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web checkmk.com
- web nvd.nist.gov
- web github.com