SonarSourceは11月1日(現地時間)、「Checkmk: Remote Code Execution by Chaining Multiple Bugs (1/3)」において、オープンソース版の「Checkmk」に複数の脆弱性があると伝えた。調査の結果、CheckmkとNagVisの統合に複数の脆弱性があることが明らかとなった。

  • Checkmk: Remote Code Execution by Chaining Multiple Bugs (1/3)

    Checkmk: Remote Code Execution by Chaining Multiple Bugs (1/3)

Checkmkは、PythonおよびC++で開発された最新のITインフラ監視ソリューション。2000社以上の顧客がいるといわれている。企業ネットワーク内の特権的な位置に配備される中心的なコンポーネントとしてみられているため、常にサイバー犯罪者の標的として注目されているという。

Nagiosのモニタリングコアをベースにし、NagVisをシームレスに統合してステータスデータを地図や図に視覚化する機能を提供しているオープンソース版のCheckmkの調査が行われ、複数の脆弱性が発見された。

特定されたCheckmkおよびNagVisに存在する脆弱性の共通脆弱性評価システム(CVSS: Common Vulnerability Scoring System)のスコア値および脆弱性は次の通り。

  • CVSS 9.1 緊急(Critical) - watolibのauth.phpにおけるコードインジェクション
  • CVSS 9.1 緊急(Critical) - NagVisにおける任意のファイル読み取り
  • CVSS 6.8 警告(Medium) - ajax_graph_images.pyにおける改行インジェクション
  • CVSS 5.0 警告(Medium) - agent-receiverにおけるサーバサイドリクエストフォージェリ

これらの脆弱性はCheckmk 2.1.0p10およびそれ以下のバージョンを実行しているサーバにおいて、認証されていないリモートの攻撃者によって連鎖的にコードを実行される可能性があるとされている。また、これらの問題はCheckmk 2.1.0p12ですべて修正されているため、Checkmk 2.1.0p12以前のバージョンを使用している場合は速やかにアップデートすることが強く推奨されている。