Checkmk: Livestatus इंजेक्शन भेद्यता (CVE-2026-33456)

CVE-2026-33456 Checkmk में, अधिसूचना परीक्षण पृष्ठ तक पहुँच रखने वाले प्रमाणित उपयोगकर्ता को तैयार किए गए सेवा विवरण के माध्यम से मनमाना Livestatus कमांड इंजेक्ट करने की अनुमति मिलती है। इससे रिमोट कोड निष्पादन, जानकारी का प्रकटीकरण या सेवा से इनकार हो सकता है। गंभीरता प्रमाणित उपयोगकर्ता के विशेषाधिकार और Checkmk सिस्टम कॉन्फ़िगरेशन पर निर्भर करती है। इस जोखिम को कम करने के लिए पैच किए गए संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यह भेद्यता 2.5.0b4 और 2.4.0p26 से पहले के संस्करणों को प्रभावित करती है।

Organizations using Checkmk for system monitoring, particularly those with legacy configurations or shared hosting environments, are at risk. Environments where user accounts with access to the notification test page have elevated privileges are especially vulnerable.

• linux / server:

journalctl -u checkmk -g 'livestatus injection'

• linux / server:

ps aux | grep 'livestatus' | grep -v grep

• linux / server:

find /opt/check_mk/ -name '*service_description*' -print0 | xargs -0 grep -i 'malicious_command'

1. 2026-04-10Disclosure

   disclosure

1. आरक्षित2026-03-20
2. प्रकाशित2026-04-10
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-17

अनुशंसित समाधान Checkmk को संस्करण 2.5.0b4 या बाद के संस्करण में या संस्करण 2.4.0p26 में अपडेट करना है। इन संस्करणों में Livestatus कमांड इंजेक्शन को रोकने के लिए एक फिक्स शामिल है। एक अस्थायी उपाय के रूप में, अधिसूचना परीक्षण पृष्ठ तक पहुंच को अधिकृत उपयोगकर्ताओं तक सीमित करें और किसी भी विसंगतियों के लिए सेवा विवरणों की सावधानीपूर्वक समीक्षा करें। Livestatus से संबंधित संदिग्ध गतिविधि के लिए Checkmk लॉग की नियमित रूप से निगरानी करें। निगरानी बुनियादी ढांचे की सुरक्षा बनाए रखने के लिए सुरक्षा पैच लागू करना एक मौलिक अभ्यास है।