opravné verze balíčku , poskytující webové rozhraní pro monitorovací systém . V navrhovaných aktualizacích byla odstraněna kritická (CVE-2020-24368), která umožňuje neautentizovanému útočníkovi získat přístup k souborům na serveru s privilegii procesu Icinga Web (obvykle uživatel, pod kterým běží http-server nebo fpm).
Pro úspěšný útok je potřeba mít nainstalovaný některý z externích modulů dodávaných s obrázky nebo ikonami. Mezi takové moduly patří Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module a Globe Module. Tyto moduly samy o sobě neobsahují zranitelnosti, ale mohou být faktory, které umožňují útok na Icinga Web.
Útok se provádí zasláním HTTP GET nebo POST požadavků na zpracovatele, který poskytuje obrázky, přičemž přístup k němu nevyžaduje účet. Například, pokud je Icinga Web 2 dostupný jako „/icingaweb2“ a v systému je nainstalován modul businessprocess v adresáři /usr/share/icingaweb2/modules, pro přečtení obsahu souboru /etc/os-release lze zaslat požadavek „GET /icingaweb2/static/img?module_name=businessprocess&file=../../../../../etc/os-release“.
Zdroj: opennet.ru
