CVE-2021-36563 – Mehrere persistente und reflektierte XSS

Anwendung: CheckMK Management Web Console

Software-Version: Von 1.5.0 bis 2.0.0p9

Angriffstyp: Persistente und reflektierte XSS

Lösung: Aktualisieren Sie auf Software-Version 2.0.0p10 oder höher

Zusammenfassung: Die CheckMK Management Web Console (Versionen 1.5.0 bis 2.0.0) säubert keine Benutzereingaben in verschiedenen Parametern des WATO-Moduls. Dies ermöglicht es einem Angreifer, mit HTML-Inhalten, die vom Browser interpretiert werden (wie JavaScript oder andere clientseitige Skripte), eine Hintertür auf dem Gerät zu öffnen. Das XSS-Payload wird ausgelöst, wenn der Benutzer auf bestimmte Bereiche der Anwendung zugreift. Ein sehr gefährlicher potenzieller Weg wäre, wenn ein Angreifer mit der Monitor-Rolle (nicht Administrator) es schafft, ein persistentes XSS zu platzieren, um das secretAutomation zu stehlen (für die Nutzung der API im Administratormodus) und so einen weiteren Administrator-Benutzer zu erstellen, der hohe Berechtigungen auf der CheckMK-Überwachungs-Webkonsole hat. Eine andere Möglichkeit ist, dass persistentes XSS einem Angreifer erlaubt, den angezeigten Inhalt zu ändern oder die Informationen des Opfers zu verändern. Eine erfolgreiche Ausnutzung erfordert Zugriff auf die Weboberfläche der Verwaltung, entweder mit gültigen Anmeldedaten oder mit einer gekaperten Sitzung.

Technische Beschreibung: Siehe CVE-2021-36563

Zeitplan:

• 2021-04-12 Probleme entdeckt.
• 2021-04-26 Erster Kontakt mit dem Hersteller per E-Mail.
• 2021-04-28 Zweiter Kontakt mit dem Hersteller per E-Mail.
• 2021-04-29 Antwort des Herstellers. XSS-Schwachstellen wurden bereits erkannt und werden im nächsten Release behoben.
• 2021-05-07 Hersteller veröffentlicht die Schwachstelle und den Patch öffentlich.
• 2021-05-12 Neue Softwareversion (2.0.0p4) veröffentlicht und Schwachstellen-Patch bestätigt.
• 2021-07-26 Öffentliche Offenlegung.
• 2021-07-28 Neue Probleme entdeckt und Kontakt mit dem Hersteller per E-Mail.