Korrekturversionen des Pakets , das eine Web-Schnittstelle für das Überwachungssystem bereitstellt . In den vorgeschlagenen Updates wurde eine kritische (CVE-2020-24368) beseitigt, die es einem nicht authentifizierten Angreifer ermöglicht, auf Dateien auf dem Server mit den Berechtigungen des Icinga Web-Prozesses (normalerweise der Benutzer, unter dem der HTTP-Server oder FPM ausgeführt wird) zuzugreifen.
Für einen erfolgreichen Angriff ist das Vorhandensein eines der Drittanbieter-Module erforderlich, das mit den Bildern oder Symbolen geliefert wird. Zu diesen Modulen zählen Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module und Globe Module. In diesen Modulen selbst gibt es keine Schwachstellen, aber sie sind Faktoren, die einen Angriff auf Icinga Web ermöglichen.
Der Angriff erfolgt durch das Senden von HTTP GET- oder POST-Anfragen an den Handler, der Bilder bereitstellt und dessen Zugriff keiner Kontoanmeldung bedarf. Wenn beispielsweise Icinga Web 2 als „/icingaweb2“ verfügbar ist und das Modul businessprocess im Verzeichnis /usr/share/icingaweb2/modules installiert ist, kann eine Anfrage zum Lesen des Inhalts der Datei /etc/os-release gesendet werden: „GET /icingaweb2/static/img?module_name=businessprocess&file=../../../../../etc/os-release“.
Quelle: opennet.ru
