Icinga development team reports :

CVE-2020-24368

Icinga Icinga Web2 2.0.0 through 2.6.4, 2.7.4 and 2.8.2 has a Directory Traversal vulnerability which allows an attacker to access arbitrary files that are readable by the process running Icinga Web 2.
This issue is fixed in Icinga Web 2 in v2.6.4, v2.7.4 and v2.8.2.

The remote host is affected by the vulnerability described in GLSA-202208-05 (Icinga Web 2: Multiple Vulnerabilities)

  - Icinga Icinga Web2 2.0.0 through 2.6.4, 2.7.4 and 2.8.2 has a Directory Traversal vulnerability which     allows an attacker to access arbitrary files that are readable by the process running Icinga Web 2. This     issue is fixed in Icinga Web 2 in v2.6.4, v2.7.4 and v2.8.2. (CVE-2020-24368)

  - Icinga Web 2 is an open source monitoring web interface, framework and command-line interface.
    Installations of Icinga 2 with the IDO writer enabled are affected. If you use service custom variables in     role restrictions, and you regularly decommission service objects, users with said roles may still have     access to a collection of content. Note that this only applies if a role has implicitly permitted access     to hosts, due to permitted access to at least one of their services. If access to a host is permitted by     other means, no sensible information has been disclosed to unauthorized users. This issue has been     resolved in versions 2.8.6, 2.9.6 and 2.10 of Icinga Web 2. (CVE-2022-24714)

  - Icinga Web 2 is an open source monitoring web interface, framework and command-line interface.
    Authenticated users, with access to the configuration, can create SSH resource files in unintended     directories, leading to the execution of arbitrary code. This issue has been resolved in versions 2.8.6,     2.9.6 and 2.10 of Icinga Web 2. Users unable to upgrade should limit access to the Icinga Web 2     configuration. (CVE-2022-24715)

  - Icinga Web 2 is an open source monitoring web interface, framework and command-line interface.
    Unauthenticated users can leak the contents of files of the local system accessible to the web-server     user, including `icingaweb2` configuration files with database credentials. This issue has been resolved     in versions 2.9.6 and 2.10 of Icinga Web 2. Database credentials should be rotated. (CVE-2022-24716)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202208-05 中所述弱點影響 (Icinga Web 2：多個弱點)

  - Icinga Icinga Web 2 2.0.0 至 2.6.4 版、2.7.4 和 2.8.2 版存在目錄遊走弱點，攻擊者可利用此弱點存取執行 Icinga Web 2 的處理程序可讀取的任意檔案。此問題已在 Icinga Web 2 的 v2.6.4、v2.7.4 和 v2.8.2 中修正。(CVE-2020-24368)

  - Icinga Web 2 是一個開放原始碼的監控 Web 介面、架構和命令行介面。
    已啟用 IDO 寫入器的 Icinga 2 會受到影響。如果您在角色限制中使用服務自訂變數，並定期停用服務物件，具有上述角色的使用者或許仍可存取內容集合。請注意，這僅適用於角色具有隱含主機存取權限的情況，這是因為它允許存取至少一個服務。如果允許透過其他方式存取主機，則不會將任何敏感資訊洩漏給未經授權的使用者。此問題已在 Icinga Web 2 的 2.8.6、2.9.6 和 2.10 版中解決。(CVE-2022-24714)

  - Icinga Web 2 是一個開放原始碼的監控 Web 介面、架構和命令行介面。
    具有組態存取權限的經驗證使用者可在非預期的目錄中建立 SSH 資源檔案，進而執行任意程式碼。此問題已在 Icinga Web 2 的 2.8.6、2.9.6 和 2.10 版中解決。無法升級的使用者應限制對 Icinga Web 2 組態的存取。(CVE-2022-24715)

  - Icinga Web 2 是一個開放原始碼的監控 Web 介面、架構和命令行介面。
    未經驗證的使用者可使用資料庫憑證洩漏 Web 伺服器使用者可存取的本機系統檔案內容，包括「icingaweb2」組態檔案。此問題已在 Icinga Web 2 的 2.9.6 和 2.10 版中解決。資料庫憑證應輪替使用。(CVE-2022-24716)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Icinga 開発チームによる報告：

CVE-2020-24368

Icinga Icinga Web2 2.0.0から2.6.4、2.7.4および2.8.2には、攻撃者がIcinga Web 2を実行しているプロセスによって読み取り可能な任意のファイルにアクセスすることを可能にするディレクトリトラバーサルの脆弱性があります。
この問題は、v2.6.4、v2.7.4、v2.8.2のIcinga Web 2で修正されています。

远程主机受到 GLSA-202208-05 中所述漏洞的影响（Icinga Web 2：多个漏洞）

  - Icinga Icinga Web 2 2.0.0 至 2.6.4 版、2.7.4 和 2.8.2 版存在目录遍历漏洞，攻击者可利用此漏洞访问运行 Icinga Web 2 的进程可读取的任意文件。此问题已在 Icinga Web 2 的 v2.6.4、v2.7.4 和 v2.8.2 版中修正。(CVE-2020-24368)

  - Icinga Web 2 是一款开源监控 Web 界面、框架和命令行界面。
    启用 IDO 编写器的 Icinga 2 受到影响。如果您在角色限制中使用服务自定义变量，并且定期停用服务对象，具有所述角色的用户可能仍然可以访问内容集合。请注意，由于允许访问至少一项服务，因此仅当角色具有隐式主机访问权限时才适用。如果允许通过其他方式访问主机，则不会向未授权的用户泄露任何敏感信息。此问题已在 Icinga Web 2 的 2.8.6、2.9.6 和 2.10 版中得到解决。(CVE-2022-24714)

  - Icinga Web 2 是一款开源监控 Web 界面、框架和命令行界面。
    具有配置访问权限且经过身份验证的用户可在非预期目录中创建 SSH 资源文件，从而导致任意代码执行。此问题已在 Icinga Web 2 的 2.8.6、2.9.6 和 2.10 版中得到解决。无法升级的用户应限制访问 Icinga Web 2 的配置。(CVE-2022-24715)

  - Icinga Web 2 是一款开源监控 Web 界面、框架和命令行界面。
    未经身份验证的用户可使用数据库凭据泄露 Web 服务器用户可访问的本地系统文件的内容，包括“icingaweb2”配置文件。此问题已在 Icinga Web 2 的 2.9.6 和 2.10 版中得到解决。数据凭据应轮替使用。(CVE-2022-24716)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

A directory traversal vulnerability was discovered in Icinga Web 2, a web interface for Icinga, which could result in the disclosure of files readable by the process.

For Debian 9 stretch, this problem has been fixed in version 2.4.1-1+deb9u1.

We recommend that you upgrade your icingaweb2 packages.

For the detailed security status of icingaweb2 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/icingaweb2

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

A directory traversal vulnerability was discovered in Icinga Web 2, a web interface for Icinga, which could result in the disclosure of files readable by the process.

This update for icingaweb2 fixes the following issues :

  - icingaweb2 was updated to 2.7.4

  - CVE-2020-24368: Fixed a path Traversal which could have     allowed an attacker to access arbitrary files which are     readable by the process running (boo#1175530).

在 Icinga Web 2 (Icinga 的 Web 介面) 中發現一個目錄遊走弱點，可導致處理程序可讀取的檔案遭到洩漏。

針對 Debian 9「Stretch」，已在 2.4.1-1+deb9u1 版本中修正此問題。

建議您升級 icingaweb2 套件。

如需有關 icingaweb2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/icingaweb2

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Icinga Web 2 (Icinga 的 Web 介面) 中發現一個目錄遊走弱點，可導致處理程序可讀取的檔案遭到洩漏。

在 Icinga 的 Web 界面 Icinga Web 2 中发现一个目录遍历漏洞，该漏洞可导致进程可读文件泄露。

对于 Debian 9 stretch，已在版本 2.4.1-1+deb9u1 中修复此问题。

我们建议您升级 icingaweb2 程序包。

如需了解 icingaweb2 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/icingaweb2

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Icinga 的 Web 界面 Icinga Web 2 中发现一个目录遍历漏洞，该漏洞可导致进程可读文件泄露。

Icinga用のWebインターフェイスであるIcinga Web 2に、ディレクトリトラバーサルの脆弱性が発見されました。これにより、プロセスによる読み取りが可能なファイルの漏洩の可能性があります。

Debian 9「Stretch」では、この問題はバージョン2.4.1-1+deb9u1で修正されています。

お使いのicingaweb2パッケージをアップグレードすることを推奨します。

icingaweb2の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/icingaweb2

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Icinga用のWebインターフェイスであるIcinga Web 2に、ディレクトリトラバーサルの脆弱性が発見されました。これにより、プロセスによる読み取りが可能なファイルの漏洩の可能性があります。

icingaweb2用のこの更新プログラムでは、以下の問題が修正されています：

  - icingaweb2が2.7.4に更新されました

  - CVE-2020-24368：実行中のプロセスによる読み取りが可能な任意のファイルに攻撃者がアクセスできる可能性があったパストラバーサルを修正しました（boo#1175530）。

ID	名稱	產品	系列	已發布	已更新	嚴重性
139717	FreeBSD : Icinga Web 2 -- directory traversal vulnerability (f60561e7-e23e-11ea-be64-507b9d01076a)	Nessus	FreeBSD Local Security Checks	2020/8/20	2024/2/23	high
163842	GLSA-202208-05 : Icinga Web 2: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	high
163842	GLSA-202208-05：Icinga Web 2：多個弱點	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	high
139717	FreeBSD：Icinga Web 2 -- ディレクトリトラバーサルの脆弱性（f60561e7-e23e-11ea-be64-507b9d01076a）	Nessus	FreeBSD Local Security Checks	2020/8/20	2024/2/23	high
163842	GLSA-202208-05：Icinga Web 2：多个漏洞	Nessus	Gentoo Local Security Checks	2022/8/4	2023/10/16	high
139775	Debian DLA-2343-1 : icingaweb2 security update	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139777	Debian DSA-4747-1 : icingaweb2 - security update	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
141529	openSUSE Security Update : icingaweb2 (openSUSE-2020-1674)	Nessus	SuSE Local Security Checks	2020/10/19	2024/2/15	high
139775	Debian DLA-2343-1：icingaweb2 安全性更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139777	Debian DSA-4747-1：icingaweb2 - 安全性更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139775	Debian DLA-2343-1：icingaweb2 安全更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139777	Debian DSA-4747-1：icingaweb2 - 安全更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139775	Debian DLA-2343-1: icingaweb2セキュリティ更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
139777	Debian DSA-4747-1: icingaweb2 - セキュリティ更新	Nessus	Debian Local Security Checks	2020/8/25	2024/2/23	high
141529	openSUSEセキュリティ更新プログラム：icingaweb2（openSUSE-2020-1674）	Nessus	SuSE Local Security Checks	2020/10/19	2024/2/15	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high