مايو 1, 2024
غير مصنف

تم الإبلاغ عن نقاط ضعف متعددة في برنامج Checkmk لمراقبة البنية التحتية لتكنولوجيا المعلومات

يمكن ربط الثغرات الأمنية المكتشفة ببعضها البعض

تم الكشف عن العديد من الثغرات الأمنية في برنامج مراقبة البنية التحتية لتكنولوجيا المعلومات Checkmk والتي يمكن ربطها ببعضها البعض بواسطة مهاجم بعيد غير مصادق للاستيلاء على الخوادم المتأثرة بشكل كامل.

قال الباحث في SonarSource Stefan Schiller في تحليل تقني: "يمكن ربط هذه الثغرات الأمنية ببعضها البعض بواسطة مهاجم عن بعد غير مصدق عليه للحصول على تنفيذ التعليمات البرمجية على الخادم الذي يقوم بتشغيل الإصدار 2.1.0p10 من Checkmk والإصدارات الأقل".

يعتمد إصدار Checkmk مفتوح المصدر لأداة المراقبة على Nagios Core ويقدم عمليات تكامل مع NagVis لتصور وإنشاء خرائط طوبولوجية للبنى التحتية والخوادم والموانئ والعمليات.

وفقًا لـ Tribe29 GmbH ومقرها ميونيخ ، يتم استخدام إصدارات Enterprise و Raw من قبل أكثر من 2000 عميل ، بما في ذلك Airbus و Adobe و NASA و Siemens و Vodafone وغيرها.

نقاط الضعف في Checkmk IT
مصدر الصورة <a href="/ar/httpwwwcheckmkcom/"> checkmk<a>

نقاط الضعف الأربعة ، والتي تتكون من خطأين فادحين واثنين من الأخطاء متوسطة الخطورة ، هي كما يلي -

خطأ في إدخال الكود في مصادقة watolib (درجة CVSS: 9.1)
قراءة ملف تعسفي خلل في NagVis (درجة CVSS: 9.1)
خطأ في حقن الأمر بغلاف Livestatus الخاص بـ Checkmk و Python API (درجة CVSS: 6.8) ، و
خطأ في تزوير الطلب من جانب الخادم (SSRF) في واجهة برمجة تطبيقات تسجيل المضيف (درجة CVSS: 5.0)

في حين أن هذه العيوب من تلقاء نفسها لها تأثير محدود ، يمكن للخصم أن يسلسل المشكلات ، بدءًا من ثغرة SSRF للوصول إلى نقطة نهاية لا يمكن الوصول إليها إلا من المضيف المحلي ، واستخدامها لتجاوز المصادقة وقراءة ملف التكوين ، والوصول في النهاية إلى Checkmk GUI .

قال شيلر إنه يمكن تحويل الوصول إلى تنفيذ التعليمات البرمجية عن بُعد من خلال استغلال ثغرة أمنية في Code Injection في مكون فرعي لـ Checkmk GUI يسمى watolib ، والذي يقوم بإنشاء ملف يسمى auth.php مطلوب لتكامل NagVis.

بعد الكشف المسؤول في 22 أغسطس 2022 ، تم تصحيح الثغرات الأربع في إصدار Checkmk 2.1.0p12 الذي تم إصداره في 15 سبتمبر 2022.

تتبع النتائج اكتشاف عيوب متعددة في حلول المراقبة الأخرى مثل Zabbix و Icinga منذ بداية العام ، والتي كان من الممكن استغلالها لخرق الخوادم عن طريق تشغيل تعليمات برمجية عشوائية.

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *

arالعربية