PT-2022-23910 · Unknown · Shinken Monitoring

Nicolas Perraud · Publicado 2022-10-20 · Atualizado 2025-05-08 · CVE-2022-37298

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Shinken Monitoring versão 2.4.3

Descrição

O problema está relacionado a um controle de acesso incorreto. A classe SafeUnpickler, localizada em shinken/safepickle.py, implementa um esquema de autenticação fraco ao deserializar objetos passados dos nós de monitoramento para o servidor de monitoramento Shinken.

Recomendações

Para a versão 2.4.3, considere desativar a classe SafeUnpickler até que um patch esteja disponível para mitigar o risco de exploração. Restrinja o acesso ao módulo shinken/safepickle.py para minimizar o risco de acesso não autorizado. Evite usar a classe SafeUnpickler para deserializar objetos de nós de monitoramento até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2022-37298

GHSA-P373-JQFM-J6WR

Produtos afetados

Shinken Monitoring

Referências · 8

• 🔥 https://github.com/dbyio/cve-2022-37298 · Exploit
• https://github.com/naparuba/shinken/commit/2dae40fd1e713aec9e1966a0ab7a580b9180cff2 · Correção
• https://github.com/naparuba/shinken · Nota
• https://osv.dev/vulnerability/CVE-2022-37298 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-37298 · Nota de Segurança
• https://t.me/cibsecurity/51866 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-p373-jqfm-j6wr · Aviso do Fabricante
• https://t.me/cvenotify/121377 · Publicação no Telegram