🇰🇷 한글 설명
Icinga 2 모니터링 시스템의 /v1/objects 엔드포인트에서 필터 표현식 처리 시 권한 검증 미흡 취약점이 발견되었습니다. 인증된 API 사용자가 권한이 없는 글로벌 변수나 객체에 접근하여 민감한 정보를 탈취할 수 있습니다. 이 문제는 2.15.1, 2.14.7, 2.13.13 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 원래 볼 수 없는 시스템의 비밀 정보나 설정값을 필터 기능을 악용해 몰래 훔쳐볼 수 있는 문제입니다. 권한이 제한된 사용자라도 시스템 내부의 중요한 데이터를 읽어낼 위험이 있습니다.
🇺🇸 원문 (English)
Icinga 2 is an open source monitoring system. In Icinga 2 versions 2.4 through 2.15.0, filter expressions provided to the various /v1/objects endpoints could access variables or objects that would otherwise be inaccessible for the user. This allows authenticated API users to learn information that should be hidden from them, including global variables not permitted by the variables permission and objects not permitted by the corresponding objects/query permissions. The vulnerability is fixed in versions 2.15.1, 2.14.7, and 2.13.13.
📍 영향받는 시스템
Icinga 2 버전 2.4 ~ 2.15.0
⚔️ 공격 벡터
인증된 API 사용자가 필터 표현식을 조작하여 권한 밖의 객체나 변수에 접근
🛡️ 대응 방법
Icinga 2를 최신 패치 버전(2.15.1, 2.14.7, 2.13.13 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 현재 설치된 버전이 출력되면 취약한 버전이므로 업데이트가 필요합니다.
icinga2 --version | grep -E '2(.[0-9]+)*' | grep -vE '2.15.1|2.14.7|2.13.13'