Checkmkの合成監視でパス・トラバーサルの脆弱性、サイトユーザーとしてコードを実行されるおそれ
Summary
Checkmkの合成監視「Robotmk」のテストサービスに、パス・トラバーサルの脆弱性が見つかりました。監視対象ホストの出力を細工されると、生成されるHTMLログの内容と保存場所を操作され、サイトユーザーの権限でコードを実行されるおそれがあります。影響するのは2.5.0p19未満と2.4.0p40未満で、修正版は2.5.0p19と2.4.0p40です。CVSSv4は9.4と深刻度は重大で、早めの更新が必要です。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Checkmkの合成監視「Robotmk」のテストサービスに、パス・トラバーサルの脆弱性が見つかりました。監視対象ホストの出力を細工されると、生成されるHTMLログの内容と保存場所を操作され、サイトユーザーの権限でコードを実行されるおそれがあります。影響するのは2.5.0p19未満と2.4.0p40未満で、修正版は2.5.0p19と2.4.0p40です。CVSSv4は9.4と深刻度は重大で、早めの更新が必要です。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| Checkmk GmbHCheckmk |
≥ 2.5.0, < 2.5.0p19→ 2.5.0p19 ≥ 2.4.0, < 2.4.0p40→ 2.4.0p40 |
2.5.0p19 2.4.0p40 |
Original description The description as published by the source.
Path traversal in the Synthetic Monitoring "Robotmk" test service of Checkmk <2.5.0p19, <2.4.0p40, and 2.3.0 (EOL) allows an attacker who controls the agent output of a monitored host's check output for a host to inject a crafted robot output to define the contents and location for the generated HTML log, leading to code execution as the site user.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web checkmk.com
- web nvd.nist.gov
- web github.com