CVE-2026-61551
WysokieCVSS 8.6Streszczenie
Icinga 2 przed wersjami 2.14.9, 2.15.4 i 2.16.2 nie ogranicza głębokości zagnieżdżenia JSON, co może wyczerpać stos wywołań. Ścieżki parsowania JSON są dostępne dla nieuwierzytelnionych klientów sieciowych przez usługę Icinga 2 na porcie TCP 5665, co pozwala zdalnemu atakującemu na zawieszenie procesu.
Ocena ryzyka
Atakujący może zdalnie doprowadzić do awarii procesu Icinga 2, powodując przerwę w monitoringu i potencjalne restarty kontenera.
Rekomendacja
Zaktualizuj Icinga 2 do wersji 2.14.9, 2.15.4 lub 2.16.2 (lub nowszej), które naprawiają ten problem.
Inne podatności w Icinga 2
Zobacz wszystkie- CVE-2026-61552Wysokie
Icinga 2 od wersji 2.4 do 2.14.9, 2.15.4 i 2.16.2 zapisuje kontrolowane przez atakującego nazwy szablonów do generowanej konfiguracji bez ich escapowania. Uwierzytelniony ApiUser z uprawnieniem objects/create/* może wstrzyknąć konfigurację Icinga 2 DSL, utworzyć dodatkowe obiekty i przekroczyć przypisane uprawnienia.
- CVE-2026-61550Krytyczne
Icinga 2 od wersji 2.8 do 2.14.9, 2.15.4 i 2.16.2 zawiera podatność w obsłudze wiadomości JSON-RPC dotyczących aktualizacji certyfikatów, gdzie nie weryfikuje się, czy nadawca jest zaufanym punktem końcowym. Nieuwierzytelniony atakujący z dostępem do portu TCP 5665 może podmienić certyfikat węzła i certyfikat CA, podszyć się pod zaufany węzeł i przejąć kontrolę.
Oryginalny opis (angielski, źródło NVD)
Icinga 2 is an open source monitoring system. Prior to 2.14.9, 2.15.4, and 2.16.2, parsing deeply nested JSON can exhaust the call stack because nesting depth is not bounded. The affected JSON parsing paths are reachable by unauthenticated network clients through the Icinga 2 service on TCP port 5665, allowing a remote attacker to crash the process, while possible code execution has not been demonstrated. This issue is fixed in versions 2.14.9, 2.15.4, and 2.16.2.