CVE-2025-61909
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Icinga 2 to system monitorowania open source. W wersjach od 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, skrypt safe-reload (używany również podczas systemctl reload icinga2) oraz konfiguracja logrotate odczytują PID głównego procesu Icinga 2 z pliku PID zapisywalnego przez użytkownika demona, ale wysyłają sygnał jako użytkownik root. Może to pozwolić użytkownikowi Icinga na wysyłanie sygnałów do procesów, do których normalnie nie ma uprawnień. Poprawki zawierają wersje 2.15.1, 2.14.7 i 2.13.13.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień przez użytkownika Icinga, który może wysyłać sygnały do procesów systemowych, co może prowadzić do zakłócenia działania systemu lub uzyskania nieautoryzowanego dostępu.
Rekomendacja
Zaleca się natychmiastową aktualizację Icinga 2 do wersji 2.15.1, 2.14.7 lub 2.13.13, które zawierają poprawki eliminujące tę podatność.
Inne podatności w Icinga 2
Zobacz wszystkie- CVE-2026-61550Krytyczne
Icinga 2 od wersji 2.8 do 2.14.9, 2.15.4 i 2.16.2 zawiera podatność w obsłudze wiadomości JSON-RPC dotyczących aktualizacji certyfikatów, gdzie nie weryfikuje się, czy nadawca jest zaufanym punktem końcowym. Nieuwierzytelniony atakujący z dostępem do portu TCP 5665 może podmienić certyfikat węzła i certyfikat CA, podszyć się pod zaufany węzeł i przejąć kontrolę.
- CVE-2026-61552Wysokie
Icinga 2 od wersji 2.4 do 2.14.9, 2.15.4 i 2.16.2 zapisuje kontrolowane przez atakującego nazwy szablonów do generowanej konfiguracji bez ich escapowania. Uwierzytelniony ApiUser z uprawnieniem objects/create/* może wstrzyknąć konfigurację Icinga 2 DSL, utworzyć dodatkowe obiekty i przekroczyć przypisane uprawnienia.
- CVE-2026-61551Wysokie
Icinga 2 przed wersjami 2.14.9, 2.15.4 i 2.16.2 nie ogranicza głębokości zagnieżdżenia JSON, co może wyczerpać stos wywołań. Ścieżki parsowania JSON są dostępne dla nieuwierzytelnionych klientów sieciowych przez usługę Icinga 2 na porcie TCP 5665, co pozwala zdalnemu atakującemu na zawieszenie procesu.
- CVE-2025-61908Średnie
Icinga 2 to otwarty system monitoringu. Od wersji 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, podczas tworzenia nieprawidłowego odwołania (np. do null) dereferencja powoduje błąd segmentacji. Każdy użytkownik API z dostępem do punktu końcowego umożliwiającego określenie wyrażenia filtrującego może spowodować awarię demona Icinga 2.
- CVE-2025-61907Średnie
Icinga 2 w wersjach od 2.4 do 2.15.0 ma podatność, która pozwala uwierzytelnionym użytkownikom API na dostęp do zmiennych i obiektów, które powinny być ukryte, w tym zmiennych globalnych i obiektów nieobjętych uprawnieniami. Poprawki dostępne w wersjach 2.15.1, 2.14.7 i 2.13.13.
Oryginalny opis (angielski, źródło NVD)
Icinga 2 is an open source monitoring system. From 2.10.0 to before 2.15.1, 2.14.7, and 2.13.13, the safe-reload script (also used during systemctl reload icinga2) and logrotate configuration shipped with Icinga 2 read the PID of the main Icinga 2 process from a PID file writable by the daemon user, but send the signal as the root user. This can allow the Icinga user to send signals to processes it would otherwise not permitted to. A fix is included in the following Icinga 2 versions: 2.15.1, 2.14.7, and 2.13.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS