Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Icinga opravuje 6 zraniteľností

Icinga opravuje 6 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie, zvyšok nájdete na [1]. Produkty a ich opravené verzie: Icinga Web - 2.12.3 a 2.11.5 Icinga Director - 1.11.4 a 1.10.4 Icinga Reporting - 1.0.3

Icinga Web - XSS (CVE-2025-27404, CVE-2025-27405)
CVSS 8.3 (High)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva a špeciálne vytvorenej URL adresy umožnené vykonať útok XSS na Icinga Web. Pre verziu 2.12.2 možno riziko dočasne zmierniť aktiváciou Content Security Policy (CSP) v nastaveniach aplikácie [1][2][3].

Zraniteľnosť sa nachádza v produkte:

  • *:Icinga Web;<2.11.5;>=2.12.0,<=2.12.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

Icinga Reporting - XSS, SSRF (CVE-2025-27406)
CVSS 8.3 (High)

Neautentizovanému vzdialenému útočníkovi je v Icinga Reporting pomocou sociálneho inžinierstva a špeciálne vytvorenej šablóny umožnené vykonať útok stored XSS. Zraniteľnosť je zneužiteľná aj automatizovane pri spracovaní šablóny bezhlavým (headless) prehliadačom, ak sa pomocou nej generuje report do PDF, čo môže potenciálne viesť k útoku SSRF. Po aktualizácii na opravenú verziu sa odporúča skontrolovať všetky šablóny, prípadne odstrániť podozrivé nastavenia [1][4].

Zraniteľnosť sa nachádza v produkte:

  • *:Icinga Reporting;>=0.10.0,<=1.0.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

Icinga Director - neoprávnený prístup, zverejnenie informácií (CVE-2025-23203)
CVSS 5.5 (Medium)

Autentizovanému vzdialenému útočníkovi s prístupom do Icinga Director a jeho REST API je na niektorých endpointoch umožnené neoprávnene pristupovať k špecifickým objektom (ak pozná ich identifikátor) a upravovať ich konfiguráciu [1][5]. Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa dočasne zakázať modul Director pre všetkých používateľov okrem administrátora. Zoznam zraniteľných endpointov nájdete na [1].

Zraniteľnosť sa nachádza v produkte:

  • *:Icinga Director;>=1.0.0,<1.10.3;>=1.11.0,<1.11.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 26. 3. 2025.

CESNET, z.s.p.o. Logo