CVE-2021-32743

Icinga; ağ kaynaklarının kullanılabilirliğini kontrol eden, kullanıcıları kesintiler hakkında bilgilendiren ve raporlama için performans verileri oluşturan bir izleme sistemidir. 2.11.10 öncesindeki sürümlerde ve 2.12.0 ile 2.12.4 arasındaki sürümlerde, harici servisler için kimlik bilgileri gerektiren bazı Icinga 2 özellikleri, bu kimlik bilgilerini ilgili nesne türleri için okuma izinlerine sahip kimliği doğrulanmış API kullanıcılarına API üzerinden ifşa etmektedir. IdoMysqlConnection ve IdoPgsqlConnection (yayınlanan tüm sürümler), veritabanına bağlanmak için kullanılan kullanıcının parolasını ifşa eder. IcingaDB (2.12.0 sürümünde eklendi), Redis sunucusuna bağlanmak için kullanılan parolayı ifşa eder. ElasticsearchWriter (2.8.0 sürümünde eklendi), Elasticsearch sunucusuna bağlanmak için kullanılan parolayı ifşa eder. Bu kimlik bilgilerini elde eden bir saldırgan, söz konusu servislere karşı Icinga'yı taklit edebilir ve buradaki bilgileri ekleyebilir, değiştirebilir veya silebilir. Daha fazla yetkiye sahip kimlik bilgileri kullanılıyorsa, bu durum etkiyi buna göre artırır. 2.11.10 ve 2.12.5 sürümleriyle birlikte, bu parolalar artık API aracılığıyla ifşa edilmemektedir. Geçici bir çözüm olarak, API kullanıcı izinleri, ya yalnızca gerekli nesne türlerinin açıkça listelenerek ya da bir filtre kuralı uygulanarak etkilenen nesnelerin sorgulanmasına izin vermeyecek şekilde kısıtlanabilir.