Debian DLA-2816-1：icinga2 - LTS 安全性更新
high Nessus Plugin ID 155060
語系：
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 9 主機上安裝的多個套件受到 dla-2816 公告中提及的多個弱點影響。- Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。2.4.0 版至 2.12.4] 版中有一個弱點，經驗證的 API 使用者可藉此提升權限。攻擊者可利用唯讀使用者的認證，檢視所有組態物件 (包括「ApiListener」的「ticket_salt」) 的大多數屬性。此 salt 足以計算每個可能的通用名稱 (CN) 的票證。票證、主節點的憑證和自我簽署的憑證足以成功從 Icinga 要求所需的憑證，而該憑證可能進而用於竊取端點或 API 使用者的身分。
2.12.5 和 2.11.10 版都包含此弱點的修正程式。因應措施為明確指定可查詢的類型，或篩選出 ApiListener 物件。(CVE-2021-32739)
- Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。在 2.11.10 之前版本以及 2.12.0 至 2.12.4 版的 Icinga 2 中，有些需要外部服務認證的功能會透過 API 將這些認證公開給具有對應物件類型讀取權限經驗證的 API 使用者。IdoMysqlConnection 和 IdoPgsqlConnection (已發布的所有版本) 會洩漏用於連線至資料庫的使用者密碼。IcingaDB (在 2.12.0 中新增) 會洩漏用於連線至 Redis 伺服器的密碼。ElasticsearchWriter (在 2.8.0 中新增) 會洩漏用於連線至 Elasticsearch 伺服器的密碼。取得這些認證的攻擊者可冒充 Icinga 存取這些服務，並新增、修改和刪除其中的資訊。如果正在使用具有更多權限的認證，則會相應增加影響。從 2.11.10 和 2.12.5 版開始，不再可透過 API 洩漏這些密碼。因應措施是，藉由僅明確列出物件查詢權限所需的物件類型，或套用篩選規則，可將 API 使用者權限限制為不允許查詢任何受影響的物件。(CVE-2021-32743)
- Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。在 2.5.0 至 2.13.0 版中，儘管已指定憑證授權單位，但 ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 並未驗證伺服器的憑證。若 Icinga 2 執行個體透過可偽造的基礎結構使用 TLS 連線至上述任何時間序列資料庫 (TSDB)，則應立即升級至 2.13.1、 2.12.6 或 2.11.11 版，以修補該問題。此類執行個體也應變更 TSDB 寫入器功能用來針對 TSDB 進行驗證的認證 (若有)。除了升級外，沒有其他因應措施。(CVE-2021-37698)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 icinga2 套件。針對 Debian 9 Stretch，已在 2.6.0-2+deb9u2 版本中修正這些問題。
另請參閱
https://packages.debian.org/source/stretch/icinga2
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=991494
https://security-tracker.debian.org/tracker/source-package/icinga2
https://www.debian.org/lts/security/2021/dla-2816
https://security-tracker.debian.org/tracker/CVE-2021-32739
Plugin 詳細資訊
嚴重性: High
ID: 155060
檔案名稱: debian_DLA-2816.nasl
版本: 1.3
類型: local
代理程式: unix
已發布: 2021/11/11
已更新: 2023/11/24
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.5
時間分數: 5.1
媒介: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2021-32743
CVSS v3
風險因素: High
基本分數: 8.8
時間分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:icinga2, p-cpe:/a:debian:debian_linux:icinga2-bin, p-cpe:/a:debian:debian_linux:icinga2-classicui, p-cpe:/a:debian:debian_linux:icinga2-common, p-cpe:/a:debian:debian_linux:icinga2-dbg, p-cpe:/a:debian:debian_linux:icinga2-doc, p-cpe:/a:debian:debian_linux:icinga2-ido-mysql, p-cpe:/a:debian:debian_linux:icinga2-ido-pgsql, p-cpe:/a:debian:debian_linux:icinga2-studio, p-cpe:/a:debian:debian_linux:libicinga2, p-cpe:/a:debian:debian_linux:vim-icinga2, cpe:/o:debian:debian_linux:9.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2021/11/10
弱點發布日期: 2021/7/15