予測グラフページにおける潜在的な Livestatus インジェクション

Checkmk の CVE-2026-33457 は、認証されたユーザーが予測グラフページ内のサービス名パラメータを介して任意の Livestatus コマンドを注入することを可能にします。これは、サービス説明の値の不十分なサニタイズが原因です。 攻撃が成功した場合、リモートコード実行、機密データへの不正アクセス、サービスの中断につながる可能性があります。 この脆弱性の重大度は、認証されたユーザーの権限と Checkmk システム構成に依存します。 攻撃者はこれを利用して、システムの機密性、完全性、可用性を損なう可能性があります。 Livestatus コマンドが基盤となる監視システム上のデータにアクセスまたは変更するために使用できる場合、影響は増大します。

Organizations heavily reliant on Checkmk for monitoring critical infrastructure are particularly at risk. Environments with shared Checkmk instances or those with weak authentication practices are also more vulnerable. Specifically, those using legacy Checkmk configurations with less stringent input validation are at increased risk.

• linux / server:

journalctl -u checkmk -g "livestatus command injection"

• linux / server:

ps aux | grep livestatus | grep -i "crafted service name"

• generic web:

curl -I 'http://checkmk_server/prediction_graph?service_description=<crafted_service_name>' | grep 'Livestatus'

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-04-10
3. 更新日2026-04-14
4. EPSS 更新日2026-04-17

CVE-2026-33457 の推奨される軽減策は、Checkmk をバージョン 2.5.0b4 以降、またはバージョン 2.4.0p26 または 2.3.0p47 にアップグレードすることです。 これらのバージョンには、Livestatus インジェクション脆弱性に対する修正が含まれています。 一時的な回避策として、予測グラフページへのアクセスを最小限の権限を持つユーザーに制限します。 定期的にアクセス制御ポリシーを確認および強化して、承認されたユーザーのみが Checkmk と対話できるようにします。 システムログを不審なアクティビティについて監視することも、潜在的な攻撃を検出し、対応するのに役立ちます。 Web Application Firewall (WAF) を実装して、追加の防御レイヤーを提供することを検討してください。