Уязвимост в интерфейса за мониторинг Icinga Web

Публикувани поправителни версии на пакета Icinga Web 2.6.4, 2.7.4 и v2.8.2, предоставящи уеб интерфейс за системата за наблюдение Icinga. В предложените актуализации е отстранена критична уязвимост (CVE-2020-24368), позволяваща на неавтентифициран атакувач да получи достъп до файлове на сървъра с привилегиите на процеса Icinga Web (обикновено потребителят, под който работи http сървърът или fpm).

За успешна атака е необходимо наличие на един от външните модули, доставяни с изображения или пиктограми. Сред подобни модули се отбелязват Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module и Globe Module. В самите тези модули няма уязвимости, но те служат като фактори, които позволяват организиране на атака срещу Icinga Web.

Атаката се извършва чрез изпращане на HTTP GET или POST заявки към обработвача, който предоставя изображения, достъпът до който не изисква наличие на акаунт. Например, ако Icinga Web 2 е достъпен като "\/icingaweb2" и в системата е инсталиран модул businessprocess в директорията \/usr\/share\/icingaweb2\/modules, за да се прочете съдържанието на файла \/etc\/os-release може да се изпрати заявка "GET \/icingaweb2\/static\/img?module_name=businessprocess&file=..\/..\/..\/..\/..\/..\/..\/etc\/os-release".

Източник: opennet.ru