פגיעות בממשק ניטור האינטרנט של Icinga

יצא לאור מהדורות מתקנות של החבילה Icinga Web 2.6.4, 2.7.4 ו-v2.8.2, המספק ממשק אינטרנט למערכת הניטור איסינגה. העדכונים המוצעים מבטלים קריטי פגיעות (CVE-2020-24368), מאפשר לתוקף לא מאומת לגשת לקבצים בשרת עם הרשאות של תהליך Icinga Web (בדרך כלל המשתמש שתחתיו פועל שרת http או fpm).

התקפה מוצלחת דורשת נוכחות של אחד מהמודולים של צד שלישי שמגיעים עם תמונות או אייקונים. בין מודולים כאלה ניתן למצוא את Icinga Business Process Modeling, Icinga מנהל,
Icinga Reporting, Maps Module ומודול Globe. מודולים אלו עצמם אינם מכילים נקודות תורפה, אך הם גורמים המאפשרים לארגן התקפה על Icinga Web.

ההתקפה מתבצעת על ידי שליחת בקשות HTTP GET או POST למטפל המשרת תמונות, שהגישה אליה אינה מצריכה חשבון. לדוגמה, אם Icinga Web 2 זמין בתור "/icingaweb2" ולמערכת מותקן מודול businessprocess בספריית /usr/share/icingaweb2/modules, אתה יכול לשלוח בקשה "GET /icingaweb2/static" כדי לקרוא את התוכן של /etc/os-release file /img?module_name=businessprocess&file=../../../../../../../etc/os-release."

מקור: OpenNet.ru