CVE-2021-36563 – Multiple XSS Memorizzato e Riflesso

Applicazione: CheckMK Management Web Console

Revisione Software: Dalla 1.5.0 alla 2.0.0p9

Tipo di attacco: XSS Memorizzato e Riflesso

Soluzione: Aggiornare alla Revisione Software 2.0.0p10 o successiva

Sommario: La console web di gestione CheckMK (versioni 1.5.0 a 2.0.0) non sanifica l'input utente in vari parametri del modulo WATO. Ciò consente a un attaccante di aprire un backdoor sul dispositivo con contenuto HTML interpretato dal browser (come JavaScript o altri script lato client); il payload XSS verrà attivato quando l'utente accede ad alcune sezioni specifiche dell'applicazione. Nello stesso senso, una via potenzialmente molto pericolosa è quando un attaccante con il ruolo di monitor (non amministratore) riesce a ottenere uno stored XSS per rubare il secretAutomation (per l'uso dell'API in modalità amministratore) e quindi creare un altro utente amministratore con privilegi elevati sulla console web di monitoraggio CheckMK. Un altro modo è che lo XSS persistente permetta a un attaccante di modificare il contenuto visualizzato o cambiare le informazioni della vittima. Per uno sfruttamento riuscito è necessario l'accesso all'interfaccia web di gestione, con credenziali valide o con una sessione dirottata.

Descrizione tecnica: Vedi CVE-2021-36563

Cronologia:

• 2021-04-12 Vulnerabilità scoperte.
• 2021-04-26 Primo contatto con il fornitore via email.
• 2021-04-28 Secondo contatto con il fornitore via email.
• 2021-04-29 Risposta del fornitore. Le vulnerabilità XSS erano già state rilevate e sarebbero state corrette nella prossima release.
• 2021-05-07 Il fornitore espone pubblicamente la vulnerabilità e la sua patch.
• 2021-05-12 Rilascio della nuova versione del software (2.0.0p4) e patch della vulnerabilità confermata.
• 2021-07-26 Divulgazione pubblica.
• 2021-07-28 Nuove vulnerabilità scoperte e contatto con il fornitore via email.