CVE-2021-36563 – Multiples XSS stockées et réfléchies

Application : CheckMK Management Web Console

Révision du logiciel : De 1.5.0 à 2.0.0p9

Type d'attaque : XSS stockées et réfléchies

Solution : Mettez à jour vers la révision du logiciel 2.0.0p10 ou ultérieure.

Résumé : La console web de gestion CheckMK (versions 1.5.0 à 2.0.0) n'assainit pas les saisies utilisateur dans divers paramètres du module WATO. Cela permet à un attaquant d'ouvrir une porte dérobée sur l'appareil avec un contenu HTML interprété par le navigateur (comme JavaScript ou d'autres scripts côté client) ; la charge utile XSS sera déclenchée lorsque l'utilisateur accède à certaines sections spécifiques de l'application. Dans le même ordre d'idées, un scénario potentiellement très dangereux serait celui où un attaquant disposant du rôle de moniteur (et non d'administrateur) parvient à exécuter une XSS stockée pour voler le secretAutomation (pour l'utilisation de l'API en mode administrateur) et ainsi créer un autre utilisateur administrateur disposant de privilèges élevés sur la console web de supervision CheckMK. Une autre possibilité est qu'une XSS persistante permette à un attaquant de modifier le contenu affiché ou de changer les informations de la victime. Une exploitation réussie nécessite un accès à l'interface de gestion web, soit avec des identifiants valides, soit avec une session détournée.

Description technique : Voir CVE-2021-36563

Chronologie :

• 2021-04-12 Problèmes découverts.
• 2021-04-26 Premier contact avec le fournisseur par e-mail.
• 2021-04-28 Deuxième contact avec le fournisseur par e-mail.
• 2021-04-29 Réponse du fournisseur. Les vulnérabilités XSS étaient déjà détectées et seraient corrigées dans la prochaine version.
• 2021-05-07 Le fournisseur expose publiquement la vulnérabilité et son correctif.
• 2021-05-12 Nouvelle version du logiciel (2.0.0p4) et correctif de vulnérabilité confirmés.
• 2021-07-26 Divulgation publique.