Checkmk: Livestatus इंजेक्शन भेद्यता (CVE-2026-33455)

CVE-2026-33455 Checkmk में, एक प्रमाणित हमलावर निगरानी के त्वरित खोज फ़ंक्शन में खोज क्वेरी के माध्यम से Livestatus कमांड इंजेक्ट कर सकता है। यह खोज फ़िल्टर प्लगइन्स में इनपुट सत्यापन की कमी के कारण है। सफल शोषण से हमलावर को Checkmk सर्वर पर मनमाना कमांड निष्पादित करने की अनुमति मिल सकती है, जिससे रिमोट कोड निष्पादन, सेवा से इनकार या जानकारी का खुलासा हो सकता है। इस भेद्यता की गंभीरता प्रमाणित उपयोगकर्ता के विशेषाधिकार और Checkmk सिस्टम कॉन्फ़िगरेशन पर निर्भर करती है। इस जोखिम को कम करने के लिए संस्करण 2.5.0b4 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। अपडेट करने में विफल रहने से मॉनिटर किए गए डेटा की अखंडता और गोपनीयता से समझौता हो सकता है।

1. आरक्षित2026-03-20
2. प्रकाशित2026-04-10
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-17

CVE-2026-33455 के लिए समाधान Checkmk को संस्करण 2.5.0b4 या बाद के संस्करण में अपडेट करना है। इस संस्करण में खोज फ़िल्टर प्लगइन्स में इनपुट सत्यापन के लिए फिक्स शामिल हैं, जो Livestatus कमांड इंजेक्शन को रोकता है। इस बीच, एक अस्थायी उपाय के रूप में, त्वरित खोज फ़ंक्शन तक पहुंच को न्यूनतम विशेषाधिकार वाले उपयोगकर्ताओं तक सीमित करने की अनुशंसा की जाती है। इसके अतिरिक्त, उचित इनपुट सत्यापन को लागू करने के लिए कस्टम खोज फ़िल्टर प्लगइन्स की समीक्षा और ऑडिट करें। इस भेद्यता के खिलाफ सबसे अच्छा बचाव अपडेट को तुरंत लागू करना है। संदिग्ध गतिविधि के लिए सिस्टम लॉग की निगरानी करने से संभावित शोषण का पता लगाने में भी मदद मिल सकती है।