ഐസിംഗ വെബ് മോണിറ്ററിംഗ് ഇന്റർഫേസിലെ ദുർബലത

പ്രസിദ്ധീകരിച്ചു പാക്കേജിന്റെ തിരുത്തൽ റിലീസുകൾ ഐസിംഗ വെബ് 2.6.4, 2.7.4, v2.8.2, ഇത് മോണിറ്ററിംഗ് സിസ്റ്റത്തിനായി ഒരു വെബ് ഇന്റർഫേസ് നൽകുന്നു ഐസിംഗ. നിർദ്ദിഷ്ട അപ്‌ഡേറ്റുകൾ ഒരു നിർണായകത്തെ ഇല്ലാതാക്കുന്നു ദുർബലത (CVE-2020-24368), ഐസിംഗ വെബ് പ്രോസസിന്റെ (സാധാരണയായി http സെർവർ അല്ലെങ്കിൽ fpm പ്രവർത്തിക്കുന്ന ഉപയോക്താവിന്) പ്രത്യേകാവകാശങ്ങളുള്ള സെർവറിൽ ഫയലുകൾ ആക്‌സസ് ചെയ്യാൻ ഒരു അനധികൃത ആക്രമണകാരിയെ അനുവദിക്കുന്നു.

വിജയകരമായ ആക്രമണത്തിന് ചിത്രങ്ങളോ ഐക്കണുകളോ ഉള്ള മൂന്നാം കക്ഷി മൊഡ്യൂളുകളുടെ സാന്നിധ്യം ആവശ്യമാണ്. അത്തരം മൊഡ്യൂളുകളിൽ ഐസിംഗ ബിസിനസ് പ്രോസസ് മോഡലിംഗ്, ഐസിംഗ ഡയറക്ടർ,
ഐസിംഗ റിപ്പോർട്ടിംഗ്, മാപ്‌സ് മൊഡ്യൂൾ, ഗ്ലോബ് മൊഡ്യൂൾ. ഈ മൊഡ്യൂളുകളിൽ തന്നെ കേടുപാടുകൾ അടങ്ങിയിട്ടില്ല, പക്ഷേ അവ ഐസിംഗ വെബിൽ ആക്രമണം സംഘടിപ്പിക്കാൻ അനുവദിക്കുന്ന ഘടകങ്ങളാണ്.

അക്കൗണ്ട് ആവശ്യമില്ലാത്ത, ഇമേജുകൾ നൽകുന്ന ഒരു ഹാൻഡ്‌ലറിന് HTTP GET അല്ലെങ്കിൽ POST അഭ്യർത്ഥനകൾ അയച്ചാണ് ആക്രമണം നടത്തുന്നത്. ഉദാഹരണത്തിന്, Icinga Web 2 “/icingaweb2” ആയി ലഭ്യമാണെങ്കിൽ, സിസ്റ്റത്തിന് /usr/share/icingaweb2/modules ഡയറക്‌ടറിയിൽ ഒരു ബിസിനസ് പ്രോസസ് മൊഡ്യൂൾ ഇൻസ്റ്റാൾ ചെയ്‌തിട്ടുണ്ടെങ്കിൽ, ഉള്ളടക്കങ്ങൾ വായിക്കാൻ നിങ്ങൾക്ക് “GET /icingaweb2/static” എന്ന അഭ്യർത്ഥന അയയ്‌ക്കാം. /etc/os-release ഫയലിന്റെ /img?module_name=businessprocess&file=../../../../../../../etc/os-release.”

അവലംബം: opennet.ru