Open redirect và XSS trong tìm kiếm Setup của Checkmk GmbH Checkmk

Việc xác thực không đúng tham số reset_url của tính năng tìm kiếm nội trang Setup trong Checkmk <2.5.0p15, <2.4.0p38, <2.3.0p51 và 2.2.0 (EOL) cho phép kẻ tấn công thực thi script tùy ý trong session của người dùng đã xác thực có quyền truy cập Setup, hoặc chuyển hướng người dùng đó tới một site bên ngoài tùy ý, bằng cách dụ người dùng mở một URL được tạo sẵn rồi nhấp nút Reset hoặc gửi một tìm kiếm rỗng.

Checkmk GmbH Checkmk bị ảnh hưởng trên tất cả edition ở các trang sử dụng tìm kiếm nội trang PageMenuSearch; để khai thác, nạn nhân phải có quyền Setup.

• Nhánh 2.5.0: bị ảnh hưởng khi phiên bản <2.5.0p15; vendor liệt kê 2.5.0p15 là bản sửa.
• Nhánh 2.4.0: bị ảnh hưởng khi phiên bản <2.4.0p38; vendor liệt kê 2.4.0p38 là bản sửa.
• Nhánh 2.3.0: bị ảnh hưởng khi phiên bản <2.3.0p51; vendor liệt kê 2.3.0p51 là bản sửa.
• 2.2.0: bị ảnh hưởng và đã EOL; bản ghi và advisory được cung cấp không liệt kê bản sửa cho nhánh này.

Werk của vendor cũng liệt kê 3.0.0b1 là chưa phát hành trong bảng phiên bản sửa. Bản ghi được cung cấp không xác lập trạng thái của các bản phát hành ổn định hoặc nhánh song song khác, vì vậy không nên suy ra chúng tự động không bị ảnh hưởng.

Thanh tìm kiếm trong trang Setup sử dụng tham số reset_url để tạo URL đích cho nút Reset và luồng gửi biểu mẫu khi nội dung tìm kiếm rỗng. Hai luồng này không kiểm tra scheme hoặc origin của giá trị do kẻ tấn công kiểm soát.

1. Kẻ tấn công tạo một URL Setup chứa reset_url độc hại và dụ người dùng mở URL đó.
2. Giá trị javascript: có thể khiến script tùy ý chạy trong session của nạn nhân khi nạn nhân nhấp Reset hoặc gửi tìm kiếm rỗng.
3. Một URL tuyệt đối trỏ tới origin khác có thể chuyển hướng người dùng tới một trang bên ngoài tùy ý.

Nạn nhân phải là người dùng đã xác thực và có quyền Setup. Checkmk cho biết bản sửa giới hạn reset_url vào các relative URL cùng origin. Advisory công khai không nêu endpoint cụ thể hoặc các chi tiết triển khai khác của bộ phân tích URL.

Lỗ hổng có thể bị khai thác qua mạng bằng một URL được tạo sẵn và cần người dùng tương tác chủ động. Người dùng phải có session đã xác thực với quyền Setup, sau đó nhấp nút Reset hoặc gửi một tìm kiếm rỗng; Checkmk mô tả đây là thao tác một lần nhấp.

Đánh giá được cung cấp không yêu cầu quyền xác thực đối với kẻ tấn công. Bản ghi không xác định một public exploit, chiến dịch, nạn nhân hoặc hoạt động khai thác cụ thể; Checkmk cho biết vấn đề được phát hiện trong quá trình rà soát nội bộ.

• Khi nạn nhân kích hoạt giá trị javascript: trong session Setup, script tùy ý có thể chạy với quyền của session đó.
• Tác động thực tế phụ thuộc vào quyền và dữ liệu mà người dùng Setup được phép truy cập; có thể bao gồm đọc hoặc thay đổi dữ liệu, thực hiện thao tác quản trị được cấp quyền, hoặc ảnh hưởng tới cấu hình Checkmk.
• Giá trị tuyệt đối trỏ tới origin khác tạo open redirect, có thể được dùng để dẫn người dùng tới nội dung bên ngoài và hỗ trợ phishing.
• Lỗ hổng không tự chứng minh rằng đã xảy ra truy cập trái phép, thay đổi cấu hình hoặc gián đoạn dịch vụ; các hậu quả đó là khả năng phụ thuộc vào session nạn nhân và hành động của script.

• Script chạy trong session của người dùng Setup có thể thực hiện các thao tác mà session đó được phép thực hiện, với khả năng ảnh hưởng tới dữ liệu hoặc cấu hình mà người dùng truy cập được.
• Open redirect có thể đưa người dùng tới một origin bên ngoài, tạo rủi ro lừa đảo hoặc lạm dụng niềm tin vào liên kết Checkmk.
• Vì điều kiện khai thác yêu cầu quyền Setup, các tài khoản có quyền này và các instance dùng tìm kiếm nội trang cần được ưu tiên kiểm tra.
• Nhánh 2.2.0 đã EOL và vẫn được xác định là bị ảnh hưởng, làm tăng rủi ro vận hành nếu không thể chuyển sang nhánh được hỗ trợ.

1. Cập nhật nhánh 2.5.0 lên đúng bản vendor liệt kê là 2.5.0p15, nhánh 2.4.0 lên 2.4.0p38, hoặc nhánh 2.3.0 lên 2.3.0p51.
2. Với hệ thống chạy 2.2.0, lập kế hoạch chuyển khỏi nhánh EOL sang một nhánh được hỗ trợ và áp dụng bản sửa tương ứng. Không có bản sửa riêng cho 2.2.0 được nêu trong bằng chứng hiện có.
3. Nếu chưa thể cập nhật ngay, giảm tạm thời số lượng tài khoản có quyền Setup và coi việc hạn chế này chỉ là defense-in-depth, không phải bản sửa đã được vendor xác nhận.
4. Sau khi cập nhật, kiểm tra lại phiên bản thực tế và rà soát access log đối với các giá trị reset_url đáng ngờ. Bản sửa được vendor mô tả là giới hạn reset_url vào relative URL cùng origin.

• Kiểm kê tất cả instance Checkmk và đối chiếu từng instance với các nhánh bị ảnh hưởng và các bản sửa cụ thể.
• Xác định các trang sử dụng thành phần tìm kiếm trong trang PageMenuSearch và yêu cầu quyền Setup.
• Kiểm tra access log của web server để tìm request có tham số reset_url đáng ngờ, đặc biệt giá trị dùng scheme javascript: hoặc trỏ tới host bên ngoài. Đây là dấu hiệu được vendor nêu, không phải bằng chứng chắc chắn về khai thác thành công.
• Rà soát hoạt động của người dùng Setup liên quan tới các request đáng ngờ, đặc biệt sau thao tác Reset hoặc gửi tìm kiếm rỗng.
• Xác nhận phiên bản sau khi cập nhật theo đúng từng nhánh. Không coi việc không thấy log đáng ngờ là bằng chứng hệ thống an toàn.