Thruk-CVE-2023-34096

Thruk Monitoring Web Interface のバージョン <= v3.06 は、CVE-2023-34096（パストラバーサル） に対して脆弱です。

現在のエクスプロイトは Python 3 で作成されており、この脆弱性を利用して PoC ファイルを Thruk の一般的な複数のフォルダと、いくつかの Linux フォルダにアップロードします。

CVSS

CNA である GitHub, Inc. は、この問題に対して CVSS 3.1 スコア 6.5（Medium） を割り当てました。（NIST NVD を確認）

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

脆弱性の概要

• 割り当て済み CVE: CVE-2023-34096
• CVE 作成者: Galoget Latorre（@galoget）
• 重大度: 6.5 Medium
• タイプ: パストラバーサル（Path Traversal）
• 製品: Thruk Monitoring Web Interface
• 影響を受けるバージョン: 3.06 以下のすべてのバージョン
• パッチ適用済みバージョン: 3.06-2

タイムライン

• 2023-05-25: 本脆弱性は Galoget Latorre によって特定されました。
• 2023-06-02: 脆弱性の詳細と Proof of Concept（PoC）を含む GitHub Security Advisory を通じてメンテナに初めて連絡しました。
• 2023-06-05: CVE-2023-34096 が割り当てられました。
• 2023-06-06: メンテナがバージョン 3.06-2 でパッチをリリースしました。Thruk の Changelog を参照してください。
• 2023-06-08: GitHub Security Advisory がメンテナによって公開されました。