Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Icinga 2 opravuje kritickú zraniteľnosť
Icinga vo verziách v2.14.3, v2.13.10, v2.12.11 a v2.11.12 opravuje kritickú zraniteľnosť v produkte Icinga 2. Ak nie je možná aktualizácia na opravenú verziu, možno na zmiernenie potenciálneho dopadu pomocou firewallu obmedziť prístup k Icinga 2 API portu [1]. Z operačných systémov vydal vo verzii 2.14.3 opravu Gentoo pre najčastejšie používané architektúry [2]. Debian má k dispozícii opravu iba pre vydanie sid vo verzii 2.14.3-1 [3].
Neautentizovanému vzdialenému útočníkovi je prostredníctvom nedostatočnej kontroly certifikátu TLS umožnené neoprávnene spúšťať príkazy a meniť konfiguráciu, ak je atribút "accept_commands", respektíve "accept_config" objektu ApiListener nastavený na "true". Ak atribúty nie sú nastavené týmto spôsobom, útočníkovi je stále umožnené získať potenciálne citlivé informácie [4].
Zraniteľnosť sa nachádza v produkte:
- Icinga 2; >=v2.4.0, <v2.11.12; >=v2.12.0, <v2.12.11; >=v2.13.0, <v2.13.10; >=v2.14.0, <v2.14.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-49369 na cve.org, NVD
- CWE-295: Improper Certificate Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 12. 11. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 13. 11. 2024.