مئی 1, 2024
غیر زمرہ بندی

Checkmk IT انفراسٹرکچر مانیٹرنگ سافٹ ویئر میں متعدد خطرات کی اطلاع دی گئی ہے۔

پائی جانے والی کمزوریوں کو ایک ساتھ جکڑا جا سکتا ہے۔

Checkmk IT انفراسٹرکچر مانیٹرنگ سافٹ ویئر میں متعدد کمزوریوں کا انکشاف کیا گیا ہے جنہیں ایک غیر تصدیق شدہ، ریموٹ حملہ آور کے ذریعے مکمل طور پر متاثرہ سرورز پر قبضہ کرنے کے لیے ایک ساتھ باندھا جا سکتا ہے۔

سونار سورس کے محقق اسٹیفن شلر نے ایک تکنیکی تجزیہ میں کہا، "ان خطرات کو ایک غیر تصدیق شدہ، ریموٹ حملہ آور کے ذریعے ایک ساتھ جکڑا جا سکتا ہے تاکہ Checkmk ورژن 2.1.0p10 اور اس سے کم پر چلنے والے سرور پر کوڈ کا نفاذ حاصل کیا جا سکے۔"

مانیٹرنگ ٹول کا Checkmk کا اوپن سورس ایڈیشن Nagios Core پر مبنی ہے اور انفراسٹرکچر، سرورز، پورٹس، اور پراسیس کے ٹاپولوجیکل نقشوں کی تصور اور تخلیق کے لیے NagVis کے ساتھ انضمام پیش کرتا ہے۔

اس کے میونخ میں مقیم ڈویلپر ٹرائب 29 GmbH کے مطابق، اس کے انٹرپرائز اور را ایڈیشنز کو 2,000 سے زیادہ صارفین استعمال کرتے ہیں، جن میں Airbus، Adobe، NASA، Siemens، Vodafone، اور دیگر شامل ہیں۔

Checkmk IT میں کمزوریاں
تصویری ماخذ <a href="/ur/httpwwwcheckmkcom/"> checkmk<a>

چار کمزوریاں، جو دو کریٹیکل اور دو میڈیم سیوریٹی بگز پر مشتمل ہیں، مندرجہ ذیل ہیں۔

watolib کے auth.php میں کوڈ انجیکشن کی خامی (CVSS سکور: 9.1)
NagVis میں ایک صوابدیدی فائل پڑھنے کی خامی (CVSS سکور: 9.1)
ایک کمانڈ انجیکشن فلا Checkmk کا Livestatus ریپر اور Python API (CVSS سکور: 6.8)، اور
میزبان رجسٹریشن API (CVSS سکور: 5.0) میں سرور کی طرف سے درخواست کی جعل سازی (SSRF) کی خامی

اگرچہ ان کوتاہیوں کا اپنے طور پر ایک محدود اثر ہوتا ہے، ایک مخالف مسائل کو زنجیر بنا سکتا ہے، SSRF کی خامی سے شروع ہو کر صرف لوکل ہوسٹ سے قابل رسائی اختتامی نقطہ تک رسائی حاصل کرنے کے لیے، اسے تصدیق کو نظرانداز کرنے اور کنفیگریشن فائل کو پڑھنے کے لیے استعمال کرتے ہوئے، بالآخر Checkmk GUI تک رسائی حاصل کر لیتا ہے۔ .

شلر نے کہا کہ رسائی کو مزید ریموٹ کوڈ پر عمل درآمد میں تبدیل کیا جا سکتا ہے ایک کوڈ انجیکشن کمزوری کا فائدہ اٹھا کر چیکمک جی یو آئی کے ذیلی حصے میں واٹولیب، جو ناگ ویس انضمام کے لیے ضروری auth.php نامی فائل تیار کرتا ہے۔

22 اگست 2022 کو ذمہ دارانہ انکشاف کے بعد، 15 ستمبر 2022 کو جاری کیے گئے Checkmk ورژن 2.1.0p12 میں چار کمزوریوں کو ٹھیک کر دیا گیا ہے۔

یہ نتائج سال کے آغاز سے زبکس اور آئسنگا جیسے دیگر مانیٹرنگ سلوشنز میں متعدد خامیوں کی دریافت کی پیروی کرتے ہیں، جن کا فائدہ اٹھا کر صوابدیدی کوڈ چلا کر سرورز سے سمجھوتہ کیا جا سکتا تھا۔

جواب دیں

آپ کا ای میل ایڈریس شائع نہیں کیا جائے گا۔ ضروری خانوں کو * سے نشان زد کیا گیا ہے

urاردو