CVE-2026-61551

Icinga 2 od wersji 2.8 do 2.14.9, 2.15.4 i 2.16.2 zawiera podatność w obsłudze wiadomości JSON-RPC dotyczących aktualizacji certyfikatów, gdzie nie weryfikuje się, czy nadawca jest zaufanym punktem końcowym. Nieuwierzytelniony atakujący z dostępem do portu TCP 5665 może podmienić certyfikat węzła i certyfikat CA, podszyć się pod zaufany węzeł i przejąć kontrolę.

Icinga 2 od wersji 2.4 do 2.14.9, 2.15.4 i 2.16.2 zapisuje kontrolowane przez atakującego nazwy szablonów do generowanej konfiguracji bez ich escapowania. Uwierzytelniony ApiUser z uprawnieniem objects/create/* może wstrzyknąć konfigurację Icinga 2 DSL, utworzyć dodatkowe obiekty i przekroczyć przypisane uprawnienia.

Icinga 2 to system monitorowania open source. W wersjach od 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, skrypt safe-reload (używany również podczas systemctl reload icinga2) oraz konfiguracja logrotate odczytują PID głównego procesu Icinga 2 z pliku PID zapisywalnego przez użytkownika demona, ale wysyłają sygnał jako użytkownik root. Może to pozwolić użytkownikowi Icinga na wysyłanie sygnałów do procesów, do których normalnie nie ma uprawnień. Poprawki zawierają wersje 2.15.1, 2.14.7 i 2.13.13.

Icinga 2 to otwarty system monitoringu. Od wersji 2.10.0 do przed 2.15.1, 2.14.7 i 2.13.13, podczas tworzenia nieprawidłowego odwołania (np. do null) dereferencja powoduje błąd segmentacji. Każdy użytkownik API z dostępem do punktu końcowego umożliwiającego określenie wyrażenia filtrującego może spowodować awarię demona Icinga 2.

Icinga 2 w wersjach od 2.4 do 2.15.0 ma podatność, która pozwala uwierzytelnionym użytkownikom API na dostęp do zmiennych i obiektów, które powinny być ukryte, w tym zmiennych globalnych i obiektów nieobjętych uprawnieniami. Poprawki dostępne w wersjach 2.15.1, 2.14.7 i 2.13.13.