Check_MK 1.2.4 < 1.2.4p4 / 1.2.5 < 1.2.5i4 多个漏洞

high Nessus 插件 ID 101087

语言：

简介

远程主机上运行的 IT 监控应用程序受到多个漏洞的影响。

描述

远程 Web 服务器上运行的 Check_MK 版本为低于 1.2.4p4 的 1.2.4 或低于 1.2.5i4 的 1.2.5。因此，该服务器受到多个漏洞的影响：

- multisite 组件中存在多个跨站脚本 (XSS) 漏洞，尤其是在 htmllib.py 文件内的 render_status_icons() 函数和 actions.py 文件内的 ajax_action() 函数中，这是未能正确验证用户提供的输入便将其返回给用户所致。未经身份验证的远程攻击者可利用这些问题，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2014-5338)

- 存在有关行选择的缺陷，其允许经过身份验证的远程攻击者将 Check_MK 配置 (.mk) 文件写入任意位置。
(CVE-2014-5339)

- wato 组件中存在一个缺陷，这是使用不安全的 Python pickel API 调用所致。未经身份验证的远程攻击者可利用此问题，通过特制的序列化对象，执行任意代码。
(CVE-2014-5340)