Неправильная нейтрализация разделителей команд livestatus во временной шкале доступности в Checkmk <= 2.0.0p39, < 2.1.0p37 и < 2.2.0p15 поз…
Неправильная нейтрализация разделителей команд livestatus во временной шкале доступности в Checkmk <= 2.0.0p39, < 2.1.0p37 и < 2.2.0p15 позволяет авторизованным пользователям выполнять произвольные команды livestatus.
Продукт не нейтрализует или некорректно нейтрализует разделители.
https://cwe.mitre.org/data/definitions/140.html →Открыть в коллекции CWE →Атака данного типа эксплуатирует уязвимости программы, позволяющие злоумышленнику конкатенировать собственные команды с легитимными командами с целью атаки на другие ресурсы, такие как файловая система или база данных. Система, использующая фильтр или проверку входных данных на основе списка запрещённых значений, в отличие от проверки на основе разрешающего списка, уязвима для злоумышленника, способного предсказывать разделители (или их комбинации), отсутствующие в фильтре или списке запрещённых значений. Как и другие атаки внедрения, злоумышленник использует полезную нагрузку с разделителем команд в качестве точки входа для туннелирования через приложение и активации дополнительных атак посредством SQL-запросов, команд командного интерпретатора, сетевого сканирования и т. д.
https://capec.mitre.org/data/definitions/15.html →Открыть в коллекции CAPEC →