CVE-2026-20915

Niewystarczająca ochrona poświadczeń w punktach końcowych konfiguracji hosta i folderu w interfejsie REST API w Checkmk <2.5.0p15, <2.4.0p37, <2.3.0p51 i 2.2.0 (EOL) pozwala uwierzytelnionemu użytkownikowi, który może przeglądać konfigurację hosta, odczytać zapisane ciągi społeczności SNMP, hasła uwierzytelniania i prywatności SNMPv3 oraz hasła IPMI w postaci jawnej z odpowiedzi GET, mimo że GUI konfiguracji nigdy nie wyświetla tych wartości.

Nieprawidłowa neutralizacja znaków nowej linii w wartościach filtrów w interfejsach API listy hostów i usług monitoringu w Checkmk <2.5.0p14 pozwala uwierzytelnionemu użytkownikowi wstrzyknąć dodatkowe nagłówki zapytań Livestatus, omijając ograniczenia widoczności obiektów w zapytaniach zliczających, aby wywnioskować informacje o hostach i usługach spoza ich grup kontaktowych oraz zajmować procesy robocze serwera i Livestatus na czas kontrolowany przez atakującego.

W Checkmk w wersjach <2.4.0p23, <2.3.0p45 oraz 2.2.0 występuje podatność związana z ujawnieniem sekretu podpisywania sesji. Administrator zdalnej witryny z włączoną synchronizacją konfiguracji może przejąć sesje na centralnej witrynie, fałszując ciasteczka sesyjne.

W Checkmk w wersjach <2.5.0p14, <2.4.0p37, <2.3.0p51 oraz 2.2.0 (EOL) występuje nieprawidłowe przetwarzanie silnie skompresowanych danych (amplifikacja danych). Atakujący kontrolujący host zarejestrowany w trybie push może wysłać mały ładunek skompresowany zlib, który po dekompresji osiąga dowolny rozmiar, wyczerpując pamięć odbiornika agenta.

W Checkmk w wersjach wcześniejszych niż 2.5.0p10 występuje nieprawidłowa walidacja certyfikatów. Agent i przekaźnik (relay) o tym samym UUID mogą używać wzajemnie swoich certyfikatów mTLS do uwierzytelniania się w punktach końcowych odbioru agenta, ponieważ punkty te nie weryfikują, czy certyfikat został wydany przez ich własny certyfikat główny.

Brak autoryzacji w Checkmk w wersjach <2.5.0p12, <2.4.0p36, <2.3.0p50 oraz wszystkich 2.2.0 pozwala uwierzytelnionemu użytkownikowi, który zna ID zadania w tle, na podgląd jego statusu i wyników.

W agent receiver Checkmk przed wersją 2.5.0p10 występuje problem z uwierzytelnianiem. Nieuwierzytelniony zdalny atakujący może ominąć weryfikację certyfikatów klienta w relay endpoints, podając stały identyfikator zastępczy w URL żądania. Ma to ograniczony wpływ na integralność i dostępność. Dotyczy tylko edycji Cloud, Ultimate i Ultimate MT.

Podatność w Checkmk (wersje <2.5.0p2, <2.4.0p29, <2.3.0p47 oraz wszystkie 2.2.0) dotyczy nieprawidłowej autoryzacji w zamrożonych agregacjach BI. Uwierzytelniony użytkownik z ograniczoną widocznością hostów i usług może poznać nazwy i istnienie hostów oraz usług, do których nie ma autoryzacji.

Brak autoryzacji w Checkmk przed wersjami 2.5.0p10, 2.4.0p35, 2.3.0p49 oraz 2.2.0 (EOL) pozwala uwierzytelnionemu użytkownikowi bez uprawnienia "Edytuj raporty innych" na modyfikowanie raportów należących do innych użytkowników.

W Checkmk w wersjach 2.5.0 przed 2.5.0p9, 2.4.0 przed 2.4.0p34, 2.3.0 przed 2.3.0p49 oraz 2.2.0 (EOL) stwierdzono nieprawidłowe egzekwowanie uprawnień. Użytkownicy bez odpowiednich uprawnień mogą przeglądać i modyfikować pakiety BI oraz reguły.