เจ†เจˆเจธเจฟเฉฐเจ—เจพ เจตเฉˆเฉฑเจฌ เจจเจฟเจ—เจฐเจพเจจเฉ€ เจ‡เฉฐเจŸเจฐเจซเฉ‡เจธ เจตเจฟเฉฑเจš เจ•เจฎเจœเจผเฉ‹เจฐเฉ€

เจชเฉเจฐเจ•เจพเจธเจผเจฟเจค เจชเฉˆเจ•เฉ‡เจœ เจฆเฉ‡ เจธเฉเจงเจพเจฐเจพเจคเจฎเจ• เจฐเฉ€เจฒเฉ€เจœเจผ เจ†เจˆเจธเจฟเฉฐเจ—เจพ เจตเฉˆเฉฑเจฌ 2.6.4, 2.7.4 เจ…เจคเฉ‡ v2.8.2, เจœเฉ‹ เจจเจฟเจ—เจฐเจพเจจเฉ€ เจธเจฟเจธเจŸเจฎ เจฒเจˆ เจ‡เฉฑเจ• เจตเฉˆเฉฑเจฌ เจ‡เฉฐเจŸเจฐเจซเฉ‡เจธ เจชเฉเจฐเจฆเจพเจจ เจ•เจฐเจฆเจพ เจนเฉˆ เจ†เจˆเจธเฉ€เจธเฉ€เจ. เจชเฉเจฐเจธเจคเจพเจตเจฟเจค เจ…เฉฑเจชเจกเฉ‡เจŸ เจ‡เฉฑเจ• เจจเจพเจœเจผเฉเจ• เจจเฉ‚เฉฐ เจ–เจคเจฎ เจ•เจฎเจœเจผเฉ‹เจฐเฉ€ (CVE-2020-24368), เจ‡เฉฑเจ• เจ…เจฃ-เจชเฉเจฐเจฎเจพเจฃเจฟเจค เจนเจฎเจฒเจพเจตเจฐ เจจเฉ‚เฉฐ Icinga เจตเฉˆเฉฑเจฌ เจชเฉเจฐเจ•เจฟเจฐเจฟเจ† เจฆเฉ‡ เจตเจฟเจธเจผเฉ‡เจธเจผ เจ…เจงเจฟเจ•เจพเจฐเจพเจ‚ เจจเจพเจฒ เจธเจฐเจตเจฐ 'เจคเฉ‡ เจซเจพเจˆเจฒเจพเจ‚ เจคเฉฑเจ• เจชเจนเฉเฉฐเจš เจ•เจฐเจจ เจฆเฉ€ เจ†เจ—เจฟเจ† เจฆเจฟเฉฐเจฆเจพ เจนเฉˆ (เจ†เจฎ เจคเฉŒเจฐ 'เจคเฉ‡ เจ‰เจน เจ‰เจชเจญเฉ‹เจ—เจคเจพ เจœเจฟเจธ เจฆเฉ‡ เจ…เจงเฉ€เจจ http เจธเจฐเจตเจฐ เจœเจพเจ‚ fpm เจšเฉฑเจฒ เจฐเจฟเจนเจพ เจนเฉˆ)เฅค

เจ‡เฉฑเจ• เจธเจซเจฒ เจนเจฎเจฒเฉ‡ เจฒเจˆ เจ•เจฟเจธเฉ‡ เจคเฉ€เจœเฉ€-เจงเจฟเจฐ เจฆเฉ‡ เจฎเฉ‹เจกเฉ€เจŠเจฒ เจฆเฉ€ เจฎเฉŒเจœเฉ‚เจฆเจ—เฉ€ เจฆเฉ€ เจฒเฉ‹เฉœ เจนเฉเฉฐเจฆเฉ€ เจนเฉˆ เจœเฉ‹ เจšเจฟเฉฑเจคเจฐเจพเจ‚ เจœเจพเจ‚ เจ†เจˆเจ•เจจเจพเจ‚ เจจเจพเจฒ เจ†เจ‰เจ‚เจฆเจพ เจนเฉˆเฅค เจ…เจœเจฟเจนเฉ‡ เจฎเฉ‹เจกเจฟเจŠเจฒเจพเจ‚ เจตเจฟเฉฑเจš เจ†เจˆเจธเจฟเฉฐเจ—เจพ เจฌเจฟเจœเจผเจจเจธ เจชเฉเจฐเฉ‹เจธเฉˆเจธ เจฎเจพเจกเจฒเจฟเฉฐเจ—, เจ†เจˆเจธเจฟเฉฐเจ—เจพ เจกเจพเจ‡เจฐเฉˆเจ•เจŸเจฐ,
เจ†เจˆเจธเจฟเฉฐเจ—เจพ เจฐเจฟเจชเฉ‹เจฐเจŸเจฟเฉฐเจ—, เจฎเฉˆเจชเจธ เจฎเฉ‹เจกเฉ€เจŠเจฒ เจ…เจคเฉ‡ เจ—เจฒเฉ‹เจฌ เจฎเฉ‹เจกเฉ€เจŠเจฒเฅค เจ‡เจน เจฎเฉ‹เจกเฉ€เจŠเจฒ เจ†เจชเจฃเฉ‡ เจ†เจช เจตเจฟเฉฑเจš เจ•เจฎเจœเจผเฉ‹เจฐเฉ€เจ†เจ‚ เจจเจนเฉ€เจ‚ เจฐเฉฑเจ–เจฆเฉ‡ เจนเจจ, เจชเจฐ เจ‡เจน เจ‰เจน เจ•เจพเจฐเจ• เจนเจจ เจœเฉ‹ Icinga เจตเฉˆเฉฑเจฌ 'เจคเฉ‡ เจนเจฎเจฒเฉ‡ เจจเฉ‚เฉฐ เจ†เจฏเฉ‹เจœเจฟเจค เจ•เจฐเจจ เจฆเฉ€ เจ‡เจœเจพเจœเจผเจค เจฆเจฟเฉฐเจฆเฉ‡ เจนเจจเฅค

เจนเจฎเจฒเจพ เจ‡เฉฑเจ• เจนเฉˆเจ‚เจกเจฒเจฐ เจจเฉ‚เฉฐ HTTP GET เจœเจพเจ‚ POST เจฌเฉ‡เจจเจคเฉ€เจ†เจ‚ เจญเฉ‡เจœ เจ•เฉ‡ เจ•เฉ€เจคเจพ เจœเจพเจ‚เจฆเจพ เจนเฉˆ เจœเฉ‹ เจšเจฟเฉฑเจคเจฐ เจชเฉเจฐเจฆเจพเจจ เจ•เจฐเจฆเจพ เจนเฉˆ, เจœเจฟเจธ เจคเฉฑเจ• เจชเจนเฉเฉฐเจš เจฒเจˆ เจ–เจพเจคเฉ‡ เจฆเฉ€ เจฒเฉ‹เฉœ เจจเจนเฉ€เจ‚ เจนเฉเฉฐเจฆเฉ€ เจนเฉˆเฅค เจ‰เจฆเจพเจนเจฐเจจ เจฒเจˆ, เจœเฉ‡เจ•เจฐ Icinga Web 2 โ€œ/icingaweb2โ€ เจฆเฉ‡ เจฐเฉ‚เจช เจตเจฟเฉฑเจš เจ‰เจชเจฒเจฌเจง เจนเฉˆ เจ…เจคเฉ‡ เจธเจฟเจธเจŸเจฎ เจตเจฟเฉฑเจš /usr/share/icingaweb2/modules เจกเจพเจ‡เจฐเฉˆเจ•เจŸเจฐเฉ€ เจตเจฟเฉฑเจš เจ‡เฉฑเจ• เจ•เจพเจฐเฉ‹เจฌเจพเจฐเฉ€ เจชเฉเจฐเจ•เจฟเจฐเจฟเจ† เจฎเฉ‹เจกเฉ€เจŠเจฒ เจธเจฅเจพเจชเจค เจนเฉˆ, เจคเจพเจ‚ เจคเฉเจธเฉ€เจ‚ เจธเจฎเฉฑเจ—เจฐเฉ€ เจจเฉ‚เฉฐ เจชเฉœเฉเจนเจจ เจฒเจˆ โ€œGET /icingaweb2/staticโ€ เจฌเฉ‡เจจเจคเฉ€ เจญเฉ‡เจœ เจธเจ•เจฆเฉ‡ เจนเฉ‹เฅค /etc/os-release เจซเจพเจˆเจฒ เจฆเฉ€ /img?module_name=businessprocess&file=../../../../../../../etc/os-release."

เจธเจฐเฉ‹เจค: opennet.ru

เจ‡เฉฑเจ• เจŸเจฟเฉฑเจชเจฃเฉ€ เจœเฉ‹เฉœเฉ‹