коригувальні випуски пакету , що надає web-інтерфейс для системи моніторингу . У запропонованих оновленнях усунуто критичну (CVE-2020-24368), що дозволяє неавтентифікованому атакуючому отримати доступ до файлів на сервері з привілеями процесу Icinga Web (зазвичай користувач, під якими виконується http-сервер або fpm).
Для успішної атаки потрібна наявність одного із сторонніх модулів, що постачається із зображеннями або піктограмами. Серед таких модулів відзначаються Icinga Business Process Modeling, Icinga Director,
Icinga Reporting, Maps Module та Globe Module. Самі по собі в даних модулях немає вразливостей, але вони є факторами, що дозволяють організувати атаку на Icinga Web.
Атака здійснюється через надсилання запитів HTTP GET або POST до оброблювача, який виконує віддачу зображень, доступ до якого не потребує облікового запису. Наприклад, якщо Icinga Web 2 доступний як "/icingaweb2" і в системі є модуль businessprocess, встановлений у каталог /usr/share/icingaweb2/modules, для читання вмісту файлу /etc/os-release можна надіслати запит "GET /icingaweb2/static /img?module_name=businessprocess&file=../../../../../../../etc/os-release».
Джерело: opennet.ru