CVE-2021-36563
Açıklama
CheckMK yönetim web konsolu (1.5.0 ile 2.0.0 arasındaki sürümler), WATO modülünün çeşitli parametrelerindeki kullanıcı girişlerini temizlememektedir. Bu durum, bir saldırganın cihaz üzerinde tarayıcı tarafından yorumlanan HTML içeriğiyle (JavaScript veya diğer istemci tarafı betikleri gibi) bir arka kapı açmasına olanak tanır; XSS yükü, kullanıcı uygulamanın belirli bölümlerine eriştiğinde tetiklenir. Benzer şekilde, monitör rolüne sahip (yönetici olmayan) bir saldırganın, yönetici modunda API kullanımı için secretAutomation bilgisini çalmak amacıyla kalıcı bir XSS gerçekleştirmesi ve böylece CheckMK izleme web konsolunda yüksek yetkilere sahip başka bir yönetici kullanıcısı oluşturabilmesi oldukça tehlikeli bir potansiyel yoldur. Bir diğer yol ise, kalıcı XSS'in bir saldırgana görüntülenen içeriği değiştirme veya kurbanın bilgilerini değiştirme imkanı tanımasıdır. Başarılı bir istismar, geçerli kimlik bilgileriyle veya ele geçirilmiş bir oturumla web yönetim arayüzüne erişim gerektirir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| checkmk checkmk | 1.5.0 ≤ v ≤ 2.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.