Уязвимост в интерфейса за мониторинг Icinga Web

Публикувани коригиращи версии на пакета Icinga Web 2.6.4, 2.7.4 и v2.8.2, предоставящ му уеб интерфейс за системата за мониторинг Icinga. В предложените актуализации са отстранени критични уязвимост (CVE-2020-24368), позволяваща на неаутентифициран нападател да получи достъп до файлове на сървера с привилегиите на процеса Icinga Web (обикновено потребителят, под който работи http-сървърът или fpm).

За успешна атака е необходимо наличието на един от странични модули, доставяни с изображения или пиктограми. Сред такива модули се открояват Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module и Globe Module. Самите тези модули нямат уязвимости, но те са фактори, позволяващи организирането на атака срещу Icinga Web.

Атаката се извършва чрез изпращане на HTTP GET или POST заявки към обработвача, който предоставя изображения, достъпът до който не изисква наличието на акаунт. Например, ако Icinga Web 2 е достъпен като "\/icingaweb2" и в системата има инсталиран модул businessprocess в директорията \/usr\/share\/icingaweb2\/modules, за да се прочете съдържанието на файла \/etc\/os-release, може да се изпрати заявка "GET \/icingaweb2\/static\/img?module_name=businessprocess&file=..\/..\/..\/..\/..\/..\/..\/etc\/os-release".

Източник: opennet.ru