Lộ thông tin xác thực dạng văn bản rõ trong REST API của Checkmk GmbH Checkmk

Thông tin xác thực được bảo vệ không đầy đủ trong các endpoint cấu hình host và folder của REST API trong Checkmk <2.5.0p15, <2.4.0p38, <2.3.0p51 và 2.2.0 (EOL) cho phép một người dùng đã xác thực có quyền xem cấu hình của host đọc các SNMP community string, auth và privacy pass phrase của SNMPv3, cùng các IPMI password được lưu trữ dưới dạng văn bản rõ từ các phản hồi GET, mặc dù setup GUI không bao giờ hiển thị các giá trị này.

Các phạm vi được vendor và bản ghi bị ảnh hưởng hỗ trợ gồm:

• Checkmk 2.5.0: bị ảnh hưởng ở các bản phát hành thấp hơn 2.5.0p15; vendor liệt kê 2.5.0p15 là bản sửa.
• Checkmk 2.4.0: bị ảnh hưởng ở các bản phát hành thấp hơn 2.4.0p38; vendor liệt kê 2.4.0p38 là bản sửa.
• Checkmk 2.3.0: bị ảnh hưởng ở các bản phát hành thấp hơn 2.3.0p51; vendor liệt kê 2.3.0p51 là bản sửa.
• Checkmk 2.2.0: bị ảnh hưởng và đã ở trạng thái EOL; không có bản sửa riêng cho nhánh này được xác định.
• Vendor cũng liệt kê 3.0.0b1 là bản có thay đổi sửa lỗi, với trạng thái chưa phát hành tại thời điểm advisory.

Một bản ghi tổng hợp được trả về trong quá trình nghiên cứu hiển thị ranh giới 2.4.0p37, nhưng điều này mâu thuẫn với affected facts được cung cấp và advisory trực tiếp của vendor. Ranh giới 2.4.0p38 được dùng vì đây là thông tin được vendor xác nhận.

REST API của Checkmk GmbH Checkmk trả về các trường chứa bí mật trong phản hồi GET của endpoint cấu hình host và folder, thay vì áp dụng cơ chế ẩn dữ liệu như setup GUI. Dữ liệu bị lộ gồm snmp_community với community string SNMP v1/v2 và các pass phrase auth_password, privacy_password của SNMPv3; management_snmp_community chứa các loại thông tin tương tự cho management board; và management_ipmi_credentials chứa password của IPMI. Người dùng phải đăng nhập và có quyền xem cấu hình host; theo advisory của vendor, một tài khoản có role tích hợp user và là contact của host cũng đủ điều kiện. Đây là lỗi CWE-522: Insufficiently Protected Credentials, trong đó thông tin xác thực được trả về dạng văn bản rõ qua API dù giao diện setup không hiển thị chúng, kể cả cho administrator. Cách sửa loại bỏ các trường bí mật khỏi phản hồi GET nhưng vẫn trả về metadata không nhạy cảm, chẳng hạn type, auth_protocol, security_name và privacy_protocol; các trường bí mật vẫn bắt buộc khi tạo hoặc cập nhật host. Chi tiết về cơ chế lưu trữ nội bộ và quyết định phân quyền cụ thể bên trong implementation không được xác lập trong bằng chứng hiện có.

Lỗ hổng có thể bị khai thác qua mạng thông qua REST API. Kẻ tấn công phải có tài khoản đã xác thực và quyền xem cấu hình của host, nhưng không cần tương tác với người dùng khác; hồ sơ được cung cấp mô tả yêu cầu đặc quyền thấp và độ phức tạp thấp. Không cần truy cập trực tiếp vào giao diện setup, vì dữ liệu bị lộ trong phản hồi GET của API. Bản ghi được cung cấp đánh dấu không có public exploit, nhưng điều đó không chứng minh rằng việc khai thác không thể xảy ra. Không có mã khai thác, chiến dịch, nạn nhân hoặc indicator cụ thể nào được xác định trong bằng chứng hiện có.

Kết quả kỹ thuật chính là tiết lộ trái phép các credential được lưu trong cấu hình host và folder qua phản hồi REST API. Người khai thác cần có tài khoản đã xác thực và quyền xem cấu hình host, nên lỗ hổng không phải là truy cập ẩn danh; tuy nhiên, quyền cần thiết có thể thấp hơn quyền administrator. Community string SNMP, pass phrase SNMPv3 và password IPMI bị lộ có thể mở rộng ảnh hưởng sang thiết bị được giám sát hoặc quản trị nếu chúng còn hiệu lực và có quyền phù hợp.

Lỗi không được bằng chứng hiện có xác định là trực tiếp sửa dữ liệu, nâng quyền hoặc làm suy giảm tính sẵn sàng của Checkmk. Phạm vi ảnh hưởng thực tế phụ thuộc vào số host mà tài khoản có thể xem, loại credential được cấu hình, quyền của credential trên thiết bị đích và việc các giá trị đó đã được xoay vòng hay chưa.

Lỗi có thể làm lộ các bí mật dùng để giám sát hoặc quản trị thiết bị mạng và hạ tầng. Nếu các credential bị lộ vẫn còn hiệu lực và có quyền tương ứng trên hệ thống đích, kẻ tấn công có thể sử dụng chúng để truy cập các thiết bị hoặc management interface liên quan; mức độ truy cập thực tế phụ thuộc vào quyền của từng credential.

Hệ quả vận hành có thể gồm:

• Phải xoay vòng community string, SNMPv3 pass phrase và IPMI password trên các host bị ảnh hưởng.
• Phải rà soát lịch sử truy cập API, quyền của tài khoản và các bản sao phản hồi có thể đã được ghi log hoặc lưu trữ.
• Có nguy cơ gián đoạn hoạt động giám sát hoặc quản trị nếu credential bị xoay vòng mà chưa cập nhật đầy đủ các hệ thống sử dụng chúng.

Bản thân lỗi được mô tả là lỗi tiết lộ bí mật; bằng chứng hiện có không xác nhận rằng nó trực tiếp cho phép thay đổi cấu hình Checkmk hoặc làm gián đoạn dịch vụ.

1. Nâng cấp theo đúng nhánh lên các bản sửa được vendor xác nhận: 2.5.0p15, 2.4.0p38, 2.3.0p51 hoặc 3.0.0b1 tùy nhánh triển khai. Không suy diễn rằng mọi bản phát hành sau các mốc này hoặc mọi nhánh song song đều đã được xác minh nếu vendor không nêu rõ.
2. Nếu đang sử dụng 2.2.0, lập kế hoạch chuyển sang một nhánh còn được hỗ trợ vì bản ghi không xác định bản sửa cho nhánh EOL này.
3. Kiểm tra các client gọi API. Sau khi cập nhật, các trường bí mật không còn được trả về trong GET response nhưng vẫn bắt buộc khi tạo hoặc cập nhật host, vì vậy client thực hiện thao tác đọc rồi gửi lại nguyên trạng có thể phải được sửa để cung cấp credential một cách rõ ràng.
4. Nếu có khả năng API đã trả về credential, xoay vòng các SNMP community string, SNMPv3 auth và privacy pass phrase, cùng IPMI password liên quan. Đây là biện pháp phòng ngừa cần thực hiện dựa trên phạm vi dữ liệu có thể đã bị đọc.
5. Rà soát quyền xem cấu hình host và giảm quyền của các tài khoản không cần truy cập, nhưng không coi việc giảm quyền là thay thế cho bản sửa phần mềm.

1. Kiểm kê các instance Checkmk và xác định những hệ thống đang chạy các nhánh nằm trong phạm vi ảnh hưởng của advisory.
2. Rà soát quyền của các tài khoản có thể xem cấu hình host, đặc biệt là các tài khoản có role user và được chỉ định làm contact cho host.
3. Kiểm tra audit log, reverse proxy log và log API để tìm các yêu cầu GET tới endpoint cấu hình host hoặc folder từ những tài khoản này. Tên endpoint cụ thể không được cung cấp trong bằng chứng hiện có, vì vậy không nên tự suy đoán đường dẫn.
4. Nếu hệ thống có lưu lại phản hồi API, tìm các trường snmp_community, management_snmp_community và management_ipmi_credentials, cùng các trường bí mật như auth_password, privacy_password và password.
5. Nếu phát hiện phản hồi đã chứa bí mật, coi các giá trị đó là đã có khả năng bị lộ, xoay vòng community string, SNMPv3 pass phrase và IPMI password liên quan, sau đó đánh giá các yêu cầu API của tài khoản đó.
6. Việc không tìm thấy log phù hợp không chứng minh rằng không có dữ liệu bị đọc; các bước rà soát log chỉ là biện pháp kiểm tra và không phải indicator do vendor công bố.