korrektive udgivelser af pakken , der tilbyder et webinterface til overvågningssystemet . I de foreslåede opdateringer er der rettet en kritisk (CVE-2020-24368), der gør det muligt for en ikke-godkendt angriber at få adgang til filer på serveren med privilegierne fra Icinga Web-processen (normalt brugeren, som http-serveren eller fpm kører under).
For en succesfuld angreb kræves det, at en af de tredjepartsmoduler, der leveres med billeder eller ikoner, er til stede. Blandt sådanne moduler bemærkes Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module og Globe Module. Selve disse moduler har ikke sårbarheder, men de er faktorer, der muliggør et angreb på Icinga Web.
Angrebet udføres ved at sende HTTP GET- eller POST-anmodninger til en handler, der leverer billeder og ikke kræver en konto. For eksempel, hvis Icinga Web 2 er tilgængeligt som "/icingaweb2" og der er et businessprocess-modul installeret i mappen "/usr/share/icingaweb2/modules", kan man sende anmodning "GET /icingaweb2/static/img?module_name=businessprocess&file=..\/..\/..\/..\/..\/..\/..\/etc\/os-release" for at læse indholdet af filen "/etc/os-release".
Kilde: opennet.ru
