opravná vydání balíčku , která poskytuje webové rozhraní pro monitorovací systém . Navrhované aktualizace eliminují kritické (CVE-2020-24368), umožňuje neověřenému útočníkovi přistupovat k souborům na serveru s oprávněními webového procesu Icinga (obvykle uživatel, pod kterým běží http server nebo fpm).
Úspěšný útok vyžaduje přítomnost jednoho z modulů třetích stran, který je dodáván s obrázky nebo ikonami. Mezi takové moduly patří Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, modul Mapy a modul Globe. Tyto moduly samy o sobě neobsahují zranitelnosti, ale jsou to faktory, které umožňují organizovat útok na Icinga Web.
Útok se provádí odesláním požadavků HTTP GET nebo POST na handler, který obsluhuje obrázky, k nimž přístup nevyžaduje účet. Pokud je například Icinga Web 2 k dispozici jako „/icingaweb2“ a systém má nainstalovaný modul businessprocess v adresáři /usr/share/icingaweb2/modules, můžete odeslat požadavek „GET /icingaweb2/static“ pro přečtení obsahu. souboru /etc/os-release /img?module_name=businessprocess&file=../../../../../../../etc/os-release.“
Zdroj: opennet.ru