Injection livestatus potentielle dans la page de graphique de prédiction

La vulnérabilité CVE-2026-33457 dans Checkmk permet à un utilisateur authentifié d'injecter des commandes Livestatus arbitraires via le paramètre du nom du service dans la page de graphique de prédiction. Cela est dû à une sanitisation insuffisante de la valeur de la description du service. Une exploitation réussie pourrait entraîner une exécution de code à distance, un accès non autorisé à des données sensibles et une interruption de service. La gravité de cette vulnérabilité dépend des privilèges de l'utilisateur authentifié et de la configuration du système Checkmk. Un attaquant pourrait exploiter cela pour compromettre potentiellement la confidentialité, l'intégrité et la disponibilité du système. L'impact est amplifié si les commandes Livestatus peuvent être utilisées pour accéder ou modifier des données sur les systèmes surveillés sous-jacents.

Organizations heavily reliant on Checkmk for monitoring critical infrastructure are particularly at risk. Environments with shared Checkmk instances or those with weak authentication practices are also more vulnerable. Specifically, those using legacy Checkmk configurations with less stringent input validation are at increased risk.

• linux / server:

journalctl -u checkmk -g "livestatus command injection"

• linux / server:

ps aux | grep livestatus | grep -i "crafted service name"

• generic web:

curl -I 'http://checkmk_server/prediction_graph?service_description=<crafted_service_name>' | grep 'Livestatus'

1. 2026-04-10Disclosure

   disclosure

1. Réservé2026-03-20
2. Publiée2026-04-10
3. Modifiée2026-04-14
4. EPSS mis à jour2026-04-17

L'atténuation recommandée pour CVE-2026-33457 est de mettre à niveau Checkmk vers la version 2.5.0b4 ou ultérieure, ou vers les versions 2.4.0p26 ou 2.3.0p47. Ces versions incluent des correctifs pour la vulnérabilité d'injection Livestatus. En tant que solution de contournement temporaire, restreignez l'accès à la page de graphique de prédiction aux utilisateurs disposant de privilèges minimaux. Examinez et renforcez régulièrement les politiques de contrôle d'accès pour vous assurer que seuls les utilisateurs autorisés peuvent interagir avec Checkmk. Surveiller les journaux du système à la recherche d'activités suspectes peut également aider à détecter et à répondre aux attaques potentielles. Envisagez de mettre en œuvre un pare-feu d'applications Web (WAF) pour fournir une couche de défense supplémentaire.