CVE-2021-32739
Açıklama
Icinga; ağ kaynaklarının kullanılabilirliğini kontrol eden, kullanıcıları kesintiler hakkında bilgilendiren ve raporlama için performans verileri oluşturan bir izleme sistemidir. Versiyon 2.4.0 ile versiyon 2.12.4 arasında, kimliği doğrulanmış API kullanıcıları için yetki yükseltmeye izin verebilecek bir zafiyet bulunmaktadır. Bir salt okunur kullanıcının kimlik bilgileriyle, saldırgan, `ApiListener`'ın `ticket_salt` değeri dahil olmak üzere tüm yapılandırma nesnelerinin çoğu özniteliğini görüntüleyebilir. Bu salt değeri, mümkün olan her ortak ad (CN) için bir bilet hesaplamak için yeterlidir. Bir bilet, ana düğümün sertifikası ve kendi imzalı bir sertifika, Icinga'dan istenen sertifikanın başarıyla talep edilmesi için yeterlidir. Bu sertifika daha sonra bir uç nokta veya API kullanıcısının kimliğini çalmak için kullanılabilir. Versiyonlar 2.12.5 ve 2.11.10 zafiyeti gideren düzeltmeleri içermektedir. Geçici çözüm olarak, sorgulanabilir türler açıkça belirtilebilir veya ApiListener nesneleri filtrelenebilir.
Nasıl düzeltilir
- icinga icinga2.11.10, 2.12.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| icinga icinga | 2.4.0 ≤ v < 2.11.10, 2.12.0 ≤ v < 2.12.5 | 2.11.10, 2.12.5 |
| debian debian_linux | 9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.