CVE-2025-61907

Icinga 2 od wersji 2.8 do 2.14.9, 2.15.4 i 2.16.2 zawiera podatność w obsłudze wiadomości JSON-RPC dotyczących aktualizacji certyfikatów, gdzie nie weryfikuje się, czy nadawca jest zaufanym punktem końcowym. Nieuwierzytelniony atakujący z dostępem do portu TCP 5665 może podmienić certyfikat węzła i certyfikat CA, podszyć się pod zaufany węzeł i przejąć kontrolę.

Icinga 2 od wersji 2.4 do 2.14.9, 2.15.4 i 2.16.2 zapisuje kontrolowane przez atakującego nazwy szablonów do generowanej konfiguracji bez ich escapowania. Uwierzytelniony ApiUser z uprawnieniem objects/create/* może wstrzyknąć konfigurację Icinga 2 DSL, utworzyć dodatkowe obiekty i przekroczyć przypisane uprawnienia.

Icinga 2 przed wersjami 2.14.9, 2.15.4 i 2.16.2 nie ogranicza głębokości zagnieżdżenia JSON, co może wyczerpać stos wywołań. Ścieżki parsowania JSON są dostępne dla nieuwierzytelnionych klientów sieciowych przez usługę Icinga 2 na porcie TCP 5665, co pozwala zdalnemu atakującemu na zawieszenie procesu.

Icinga 2 to system monitorowania open source. W wersjach od 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, skrypt safe-reload (używany również podczas systemctl reload icinga2) oraz konfiguracja logrotate odczytują PID głównego procesu Icinga 2 z pliku PID zapisywalnego przez użytkownika demona, ale wysyłają sygnał jako użytkownik root. Może to pozwolić użytkownikowi Icinga na wysyłanie sygnałów do procesów, do których normalnie nie ma uprawnień. Poprawki zawierają wersje 2.15.1, 2.14.7 i 2.13.13.

Icinga 2 to otwarty system monitoringu. Od wersji 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, podczas tworzenia nieprawidłowego odwołania (np. do null) dereferencja powoduje błąd segmentacji. Każdy użytkownik API z dostępem do punktu końcowego umożliwiającego określenie wyrażenia filtrującego może spowodować awarię demona Icinga 2.