versões corretivas do pacote , que fornece uma interface web para o sistema de monitoramento . As atualizações propostas eliminam um problema crítico (CVE-2020-24368), permite que um invasor não autenticado acesse arquivos no servidor com os privilégios do processo Icinga Web (geralmente o usuário sob o qual o servidor http ou fpm está sendo executado).
Um ataque bem-sucedido requer a presença de um dos módulos de terceiros que vem com imagens ou ícones. Entre esses módulos estão Icinga Business Process Modeling, Icinga Director,
Relatórios Icinga, Módulo Mapas e Módulo Globo. Esses módulos em si não contêm vulnerabilidades, mas são fatores que permitem organizar um ataque ao Icinga Web.
O ataque é realizado enviando solicitações HTTP GET ou POST para um manipulador que serve imagens, cujo acesso não requer uma conta. Por exemplo, se o Icinga Web 2 estiver disponível como “/icingaweb2” e o sistema tiver um módulo de processo de negócios instalado no diretório /usr/share/icingaweb2/modules, você poderá enviar uma solicitação “GET /icingaweb2/static” para ler o conteúdo do arquivo /etc/os-release /img?module_name=businessprocess&file=../../../../../../../etc/os-release.”
Fonte: opennet.ru