Icinga 2 w wersjach v2.8.0–v2.11.7 oraz v2.12.2 nieprawidłowo obsługuje unieważnione certyfikaty przeznaczone do odnowienia — są one odnawiane automatycznie z pominięciem listy odwołań certyfikatów (CRL). Podatność jest krytyczna, ponieważ umożliwia uwierzytelnienie przy użyciu certyfikatów, które powinny być odrzucone.
▸ Pokaż oryginał (EN)
Icinga 2 v2.8.0 through v2.11.7 and v2.12.2 has an issue where revoked certificates due for renewal will automatically be renewed, ignoring the CRL. This issue is fixed in Icinga 2 v2.11.8 and v2.12.3.
Mechanizm automatycznego odnawiania certyfikatów w Icinga 2 nie weryfikuje, czy certyfikat przeznaczony do odnowienia widnieje na liście CRL (Certificate Revocation List). W efekcie certyfikat, który został świadomie unieważniony przez administratora, jest akceptowany i odnawiany przez system tak, jakby był prawidłowy. Stanowi to naruszenie procesu weryfikacji certyfikatów zdefiniowanego w CWE-295 (Improper Certificate Validation).
Atakujący posiadający wcześniej unieważniony certyfikat może uzyskać nieautoryzowany dostęp do infrastruktury monitorowanej przez Icinga 2, potencjalnie kompromitując poufność oraz integralność danych i konfiguracji systemu.
Należy zaktualizować Icinga 2 do wersji v2.11.8 lub v2.12.3, w których podatność została naprawiona. Patche są dostępne w repozytorium producenta na GitHub.
Icinga 2 w wersjach od v2.8.0 do v2.11.7 włącznie oraz v2.12.2.
Poprawka została wprowadzona w wersjach v2.11.8 i v2.12.3 zgodnie z oficjalnym security advisory producenta (GHSA-pcmr-2p2f-r7j6).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIcinga
APPIcinga2.12.22.8.0 – 2.11.7
Powiązane podatności
Icinga 2: obejście weryfikacji certyfikatu umożliwia podszywanie się pod węzły
Icinga 2: błędna walidacja certyfikatów TLS umożliwia podszywanie się pod węzły klastra i użytkowników API
Icinga 2 is an open source monitoring system. In Icinga 2 versions 2.4 through 2.15.0, filter expressions prov...
Icinga 2 is an open source monitoring system. From 2.10.0 to before 2.15.1, 2.14.7, and 2.13.13, when creating...
Icinga Director is a tool designed to make Icinga 2 configuration handling easy. Not any of Icinga Director's ...