paketi korrigeerivad vabastamised , mis pakub seiresüsteemile veebiliidest . Kavandatud värskendused kõrvaldavad kriitilise (CVE-2020-24368), võimaldab autentimata ründajal pääseda juurde serveris olevatele failidele Icinga veebiprotsessi õigustega (tavaliselt kasutaja, kelle all töötab http-server või fpm).
Edukas rünnak eeldab ühe piltide või ikoonidega kaasas oleva kolmanda osapoole mooduli olemasolu. Selliste moodulite hulka kuuluvad Icinga äriprotsesside modelleerimine, Icinga direktor,
Icinga aruandlus, kaartide moodul ja maakera moodul. Need moodulid ise ei sisalda turvaauke, kuid need on tegurid, mis võimaldavad korraldada rünnakut Icinga Webi vastu.
Rünnak viiakse läbi HTTP GET- või POST-päringute saatmisega pilte teenindavale töötlejale, millele juurdepääs ei nõua kontot. Näiteks kui Icinga Web 2 on saadaval kui "/icingaweb2" ja süsteemis on kataloogi /usr/share/icingaweb2/modules installitud äriprotsessi moodul, saate sisu lugemiseks saata päringu "GET /icingaweb2/static". /etc/os-release failist /img?module_name=businessprocess&file=../../../../../../../etc/os-release.
Allikas: opennet.ru