CVE-2021-36563 – Múltiples XSS almacenados y reflejados

Aplicación: CheckMK Management Web Console

Revisión de software: De 1.5.0 a 2.0.0p9

Tipo de ataque: XSS almacenado y reflejado

Solución: Actualizar a la revisión de software 2.0.0p10 o posterior

Resumen: La consola web de gestión de CheckMK (versiones 1.5.0 a 2.0.0) no sanea la entrada del usuario en varios parámetros del módulo WATO. Esto permite a un atacante abrir una puerta trasera en el dispositivo con contenido HTML interpretado por el navegador (como JavaScript u otros scripts del lado del cliente); la carga útil XSS se activará cuando el usuario acceda a algunas secciones específicas de la aplicación. En el mismo sentido, una vía potencial muy peligrosa sería cuando un atacante con el rol de monitor (no administrador) consigue un XSS almacenado para robar el secretAutomation (para el uso de la API en modo administrador) y así poder crear otro usuario administrador con altos privilegios en la consola web de monitorización de CheckMK. Otra vía es que el XSS persistente permite a un atacante modificar el contenido mostrado o cambiar la información de la víctima. La explotación exitosa requiere acceso a la interfaz web de gestión, ya sea con credenciales válidas o con una sesión secuestrada.

Descripción técnica: Ver CVE-2021-36563

Cronología:

• 2021-04-12 Se descubrieron los problemas.
• 2021-04-26 Primer contacto con el proveedor por correo electrónico.
• 2021-04-28 Segundo contacto con el proveedor por correo electrónico.
• 2021-04-29 Respuesta del proveedor. Las vulnerabilidades XSS ya se habían detectado y se corregirían en la próxima versión.
• 2021-05-07 El proveedor expone públicamente la vulnerabilidad y su parche.
• 2021-05-12 Nueva versión de software (2.0.0p4) y parche de vulnerabilidad confirmados.
• 2021-07-26 Divulgación pública.
• 2021-07-28 Se descubrieron nuevos problemas y contacto con el proveedor por correo electrónico.