opravy balíka , ktorý poskytuje webové rozhranie pre monitorovací systém . Navrhované aktualizácie odstraňujú kritickú (CVE-2020-24368), ktorá umožňuje neautentifikovanému útočníkovi získať prístup k súborom na serveri s privilégii procesu Icinga Web (zvyčajne používateľa, pod ktorým beží http-server alebo fpm).
Na úspešný útok je potrebná prítomnosť jedného z externých modulov dodávaných s obrázkami alebo ikonkami. Medzi takéto moduly patrí Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module a Globe Module. Tieto moduly samy o sebe nemajú zraniteľnosti, ale sú faktormi, ktoré umožňujú zorganizovať útok na Icinga Web.
Útok sa vykonáva zaslením požiadaviek HTTP GET alebo POST na spracovateľa, ktorý vracia obrázky, pričom prístup k nemu nevyžaduje konto. Napríklad, ak je Icinga Web 2 dostupná ako „/icingaweb2“ a v systéme je nainštalovaný modul businessprocess v priečinku /usr/share/icingaweb2/modules, na čítanie obsahu súboru /etc/os-release môžete poslať požiadavku „GET /icingaweb2/static/img?module_name=businessprocess&file=..../..../..../..../..../..../..../etc/os-release“.
Zdroj: opennet.ru
