The remote host is affected by the vulnerability described in GLSA-202412-08 (icinga2: Multiple Vulnerabilities)

    Multiple vulnerabilities have been discovered in Icinga2. Please review the CVE identifiers referenced     below for details.

Tenable has extracted the preceding description block directly from the Gentoo Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。2.4.0 版至 2.12.4] 版中有一個弱點，經驗證的 API 使用者可藉此提升權限。攻擊者可利用唯讀使用者的認證，檢視所有組態物件 (包括「ApiListener」的「ticket_salt」) 的大多數屬性。此 salt 足以計算每個可能的通用名稱 (CN) 的票證。票證、主節點的憑證和自我簽署的憑證足以成功從 Icinga 要求所需的憑證，而該憑證可能進而用於竊取端點或 API 使用者的身分。
     2.12.5 和 2.11.10 版都包含此弱點的修正程式。因應措施為明確指定可查詢的類型，或篩選出 ApiListener 物件。(CVE-2021-32739)

請注意，Nessus 依賴供應商報告的套件存在。

远程主机受到 GLSA-202412-08 中所述漏洞的影响（icinga2：多个漏洞）

    在 Icinga2 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Icinga 是一个监控系统，用于检查网络资源的可用性、通知用户中断情况，以及生成性能报告数据。版本 2.4.0 到版本 2.12.4 存在一个漏洞，此漏洞可能允许经过身份验证的 API 用户提升特权。攻击者可以利用只读用户的凭据，查看所有配置对象的大部分属性，其中包括“ApiListener”的“ticket_salt”。此 salt 足以计算每个可能公用名 (CN) 的票证。只需工单、主控端节点的证书和自签名证书就可以从 Icinga 成功请求所需证书。反之，该证书可能用于窃取端点或 API 用户的身份。
    2.12.5 和 2.11.10 版本均包含该漏洞的修复程序。作为变通方案，可以明确指定可查询类型或过滤掉 ApiListener 对象。(CVE-2021-32739)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3953 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3953-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     November 16, 2024                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : icinga2     Version        : 2.12.3-1+deb11u1     CVE ID         : CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369     Debian Bug     : 991494 1087384

    Icinga 2 is a general-purpose monitoring application to fit the needs     of any size of network.

    CVE-2021-32739

        From version 2.4.0 through version 2.12.4, a vulnerability exists that         may allow privilege escalation for authenticated API users. With a         read-only user's credentials, an attacker can view most attributes of         all config objects including `ticket_salt` of `ApiListener`. This salt         is enough to compute a ticket for every possible common name (CN). A         ticket, the master node's certificate, and a self-signed certificate are         enough to successfully request the desired certificate from Icinga. That         certificate may in turn be used to steal an endpoint or API user's         identity.

    CVE-2021-32743

        In versions prior to 2.11.10 and from version 2.12.0 through version         2.12.4, some of the Icinga 2 features that require credentials for         external services expose those credentials through the API to         authenticated API users with read permissions for the corresponding         object types. An attacker who obtains these credentials can impersonate         Icinga to these services and add, modify and delete information there.

    CVE-2021-37698

        In versions 2.5.0 through 2.13.0, ElasticsearchWriter, GelfWriter,         InfluxdbWriter and Influxdb2Writer do not verify the server's certificate         despite a certificate authority being specified. Icinga 2 instances which         connect to any of the mentioned time series databases (TSDBs) using TLS         over a spoofable infrastructure should change the credentials (if any)         used by the TSDB writer feature to authenticate against the TSDB.

    CVE-2024-49369

        The TLS certificate validation in all Icinga 2 versions starting from         2.4.0 was flawed, allowing an attacker to impersonate both trusted         cluster nodes as well as any API users that use TLS client certificates         for authentication (ApiUser objects with the client_cn attribute set).

    For Debian 11 bullseye, these problems have been fixed in version     2.12.3-1+deb11u1.

    We recommend that you upgrade your icinga2 packages.

    For the detailed security status of icinga2 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/icinga2

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-2816 advisory.

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. From version 2.4.0 through version 2.12.4, a     vulnerability exists that may allow privilege escalation for authenticated API users. With a read-ony     user's credentials, an attacker can view most attributes of all config objects including `ticket_salt` of     `ApiListener`. This salt is enough to compute a ticket for every possible common name (CN). A ticket, the     master node's certificate, and a self-signed certificate are enough to successfully request the desired     certificate from Icinga. That certificate may in turn be used to steal an endpoint or API user's identity.
    Versions 2.12.5 and 2.11.10 both contain a fix the vulnerability. As a workaround, one may either specify     queryable types explicitly or filter out ApiListener objects. (CVE-2021-32739)

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. In versions prior to 2.11.10 and from version     2.12.0 through version 2.12.4, some of the Icinga 2 features that require credentials for external     services expose those credentials through the API to authenticated API users with read permissions for the     corresponding object types. IdoMysqlConnection and IdoPgsqlConnection (every released version) exposes the     password of the user used to connect to the database. IcingaDB (added in 2.12.0) exposes the password used     to connect to the Redis server. ElasticsearchWriter (added in 2.8.0)exposes the password used to connect     to the Elasticsearch server. An attacker who obtains these credentials can impersonate Icinga to these     services and add, modify and delete information there. If credentials with more permissions are in use,     this increases the impact accordingly. Starting with the 2.11.10 and 2.12.5 releases, these passwords are     no longer exposed via the API. As a workaround, API user permissions can be restricted to not allow     querying of any affected objects, either by explicitly listing only the required object types for object     query permissions, or by applying a filter rule. (CVE-2021-32743)

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. In versions 2.5.0 through 2.13.0,     ElasticsearchWriter, GelfWriter, InfluxdbWriter and Influxdb2Writer do not verify the server's certificate     despite a certificate authority being specified. Icinga 2 instances which connect to any of the mentioned     time series databases (TSDBs) using TLS over a spoofable infrastructure should immediately upgrade to     version 2.13.1, 2.12.6, or 2.11.11 to patch the issue. Such instances should also change the credentials     (if any) used by the TSDB writer feature to authenticate against the TSDB. There are no workarounds aside     from upgrading. (CVE-2021-37698)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1089-1 advisory.

  - Icinga 2 v2.8.0 through v2.11.7 and v2.12.2 has an issue where revoked certificates due for renewal will     automatically be renewed, ignoring the CRL. This issue is fixed in Icinga 2 v2.11.8 and v2.12.3.
    (CVE-2020-29663)

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. From version 2.4.0 through version 2.12.4, a     vulnerability exists that may allow privilege escalation for authenticated API users. With a read-ony     user's credentials, an attacker can view most attributes of all config objects including `ticket_salt` of     `ApiListener`. This salt is enough to compute a ticket for every possible common name (CN). A ticket, the     master node's certificate, and a self-signed certificate are enough to successfully request the desired     certificate from Icinga. That certificate may in turn be used to steal an endpoint or API user's identity.
    Versions 2.12.5 and 2.11.10 both contain a fix the vulnerability. As a workaround, one may either specify     queryable types explicitly or filter out ApiListener objects. (CVE-2021-32739)

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. In versions prior to 2.11.10 and from version     2.12.0 through version 2.12.4, some of the Icinga 2 features that require credentials for external     services expose those credentials through the API to authenticated API users with read permissions for the     corresponding object types. IdoMysqlConnection and IdoPgsqlConnection (every released version) exposes the     password of the user used to connect to the database. IcingaDB (added in 2.12.0) exposes the password used     to connect to the Redis server. ElasticsearchWriter (added in 2.8.0)exposes the password used to connect     to the Elasticsearch server. An attacker who obtains these credentials can impersonate Icinga to these     services and add, modify and delete information there. If credentials with more permissions are in use,     this increases the impact accordingly. Starting with the 2.11.10 and 2.12.5 releases, these passwords are     no longer exposed via the API. As a workaround, API user permissions can be restricted to not allow     querying of any affected objects, either by explicitly listing only the required object types for object     query permissions, or by applying a filter rule. (CVE-2021-32743)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. From version 2.4.0 through version 2.12.4, a     vulnerability exists that may allow privilege escalation for authenticated API users. With a read-ony     user's credentials, an attacker can view most attributes of all config objects including `ticket_salt` of     `ApiListener`. This salt is enough to compute a ticket for every possible common name (CN). A ticket, the     master node's certificate, and a self-signed certificate are enough to successfully request the desired     certificate from Icinga. That certificate may in turn be used to steal an endpoint or API user's identity.
    Versions 2.12.5 and 2.11.10 both contain a fix the vulnerability. As a workaround, one may either specify     queryable types explicitly or filter out ApiListener objects. (CVE-2021-32739)

Note that Nessus relies on the presence of the package as reported by the vendor.

遠端主機受到 GLSA-202412-08 中所述的弱點影響 (icinga2：多個弱點)

    在 Icinga2 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Debian 9 ホストには、dla-2816 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。バージョン 2.4.0からバージョン 2.12.4までに、認証された API ユーザーの権限昇格を可能にする脆弱性が存在します。読み取り ony ユーザーの認証情報を使用して、攻撃者は「ApiListener」の「ticket_salt」を含むすべての構成オブジェクトのほとんどの属性を表示できます。このソルトは、あらゆる共通名 (CN ) のチケットを計算するのに十分です。チケット、マスターノードの証明書、および自己署名証明書があれば、Icinga に必要な証明書を正常にリクエストできます。この証明書は、エンドポイントまたは API ユーザーの ID を盗むために使用される可能性があります。
    バージョン 2.12.5および 2.11.10の両方に、この脆弱性の修正が含まれています。回避策として、クエリ可能なタイプを明示的に指定するか、ApiListener オブジェクトをフィルターで除外することができます。(CVE-2021-32739)

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。2.11.10より前のバージョン、およびバージョン 2.12.0からバージョン 2.12.4で、外部サービスの認証情報を必要とする一部の Icinga 2 機能は、対応するオブジェクトタイプの読み取り権限を持つ認証された API ユーザーに、認証情報を API を通じて公開します。IdoMysqlConnection および IdoPgsqlConnection (リリース済みのバージョン ) は、データベースへの接続に使用されるユーザーのパスワードを漏洩します。IcingaDB ( 2.12.0で追加 ) は、Redis サーバーへの接続に使用されるパスワードを漏洩します。ElasticsearchWriter ( 2.8.0で追加 ) は、Elasticsearch サーバーに接続するために使用されるパスワードを漏洩します。これらの認証情報を取得した攻撃者が、Icinga になりすまし、情報を追加、変更、削除する可能性があります。より多くの権限を持つ認証情報が使用されている場合、これにより影響が増大します。2.11.10および 2.12.5リリースから、これらのパスワードは API を介して公開されなくなりました。回避策として、オブジェクトクエリ権限に必要なオブジェクトタイプのみを明示的にリストするか、フィルタールールを適用することで、影響を受けるオブジェクトのクエリを許可しないように API ユーザー権限を制限できます。(CVE-2021-32743)

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。バージョン 2.5.0から 2.13.0で、ElasticsearchWriter、GelfWriter、InfluxdbWriter および Influxdb2Writer は、認証局が指定されているにもかかわらず、サーバーの証明書を検証しません。偽装可能なインフラストラクチャでTLSを使用して前述の時系列データベース (TSDB ) に接続する Icinga 2 インスタンスは、バージョン 2.13.1、 2.12.6、または 2.11.11にすぐにアップグレードして、問題にパッチを適用する必要があります。そのようなインスタンスは、TSDB ライタ機能が TSDB に対して認証するために使用する認証情報 (もしあれば ) も変更する必要があります。アップグレード以外に回避策はありません。(CVE-2021-37698)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Debian 11 ホストには、dla-3953 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3953-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : icinga2 バージョン : 2.12.3-1+deb11u1 CVE ID : CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369 Debian バグ : 991494 1087384

    Icinga 2 は、あらゆる規模のネットワークのニーズに適合する汎用監視アプリケーションです。

    CVE-2021-32739

        バージョン 2.4.0からバージョン 2.12.4までに、認証された API ユーザーの権限昇格を可能にする脆弱性が存在します。読み取り専用ユーザーの認証情報を使用して、攻撃者は「ApiListener」の「ticket_salt」を含むすべての構成オブジェクトのほとんどの属性を表示できます。このソルトは、あらゆる共通名 (CN ) のチケットを計算するのに十分です。チケット、マスターノードの証明書、および自己署名証明書があれば、Icinga に必要な証明書を正常にリクエストできます。この証明書は、エンドポイントまたは API ユーザーの ID を盗むために使用される可能性があります。

    CVE-2021-32743

        2.11.10より前のバージョン、およびバージョン 2.12.0からバージョン 2.12.4で、外部サービスの認証情報を必要とする一部の Icinga 2 機能は、対応するオブジェクトタイプの読み取り権限を持つ認証された API ユーザーに、認証情報を API を通じて公開します。これらの認証情報を取得した攻撃者が、Icinga になりすまし、情報を追加、変更、削除する可能性があります。

    CVE-2021-37698

        バージョン 2.5.0から 2.13.0で、ElasticsearchWriter、GelfWriter、InfluxdbWriter および Influxdb2Writer は、認証局が指定されているにもかかわらず、サーバーの証明書を検証しません。なりすまし可能なインフラ上で TLS を使用して前述の時系列データベース (TSDB) のいずれかに接続する Icinga 2 インスタンスは、TSDB ライター機能が TSDB に対する認証に使用する資格情報 (ある場合) を変更する必要があります。

    CVE-2024-49369

        2.4.0 以降のすべての Icinga 2 バージョンの TLS 証明書検証に欠陥があり、攻撃者が、信頼できるクラスターノードと、認証に TLS クライアント証明書 (client_cn 属性セットを持つ ApiUser オブジェクト) を使用する API ユーザーの両方になりすます可能性がありました。

    Debian 11 bullseye においては、これらの問題はバージョン 2.12.3-1+deb11u1 で修正されました。

    お使いの icinga2 パッケージをアップグレードすることを推奨します。

    icinga2 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/icinga2

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1089-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Icinga 2 v2.8.0 〜 v2.11.7 および v2.12.2 には、CRL を無視して、更新期限が切れた証明書が自動的に更新される問題があります。この問題は、Icinga 2 v2.11.8 および v2.12.3 で修正されました。
    (CVE-2020-29663)

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。バージョン 2.4.0からバージョン 2.12.4までに、認証された API ユーザーの権限昇格を可能にする脆弱性が存在します。読み取り ony ユーザーの認証情報を使用して、攻撃者は「ApiListener」の「ticket_salt」を含むすべての構成オブジェクトのほとんどの属性を表示できます。このソルトは、あらゆる共通名 (CN ) のチケットを計算するのに十分です。チケット、マスターノードの証明書、および自己署名証明書があれば、Icinga に必要な証明書を正常にリクエストできます。この証明書は、エンドポイントまたは API ユーザーの ID を盗むために使用される可能性があります。
    バージョン 2.12.5および 2.11.10の両方に、この脆弱性の修正が含まれています。回避策として、クエリ可能なタイプを明示的に指定するか、ApiListener オブジェクトをフィルターで除外することができます。(CVE-2021-32739)

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。2.11.10より前のバージョン、およびバージョン 2.12.0からバージョン 2.12.4で、外部サービスの認証情報を必要とする一部の Icinga 2 機能は、対応するオブジェクトタイプの読み取り権限を持つ認証された API ユーザーに、認証情報を API を通じて公開します。IdoMysqlConnection および IdoPgsqlConnection (リリース済みのバージョン ) は、データベースへの接続に使用されるユーザーのパスワードを漏洩します。IcingaDB ( 2.12.0で追加 ) は、Redis サーバーへの接続に使用されるパスワードを漏洩します。ElasticsearchWriter ( 2.8.0で追加 ) は、Elasticsearch サーバーに接続するために使用されるパスワードを漏洩します。これらの認証情報を取得した攻撃者が、Icinga になりすまし、情報を追加、変更、削除する可能性があります。より多くの権限を持つ認証情報が使用されている場合、これにより影響が増大します。2.11.10および 2.12.5リリースから、これらのパスワードは API を介して公開されなくなりました。回避策として、オブジェクトクエリ権限に必要なオブジェクトタイプのみを明示的にリストするか、フィルタールールを適用することで、影響を受けるオブジェクトのクエリを許可しないように API ユーザー権限を制限できます。(CVE-2021-32743)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。バージョン 2.4.0からバージョン 2.12.4までに、認証された API ユーザーの権限昇格を可能にする脆弱性が存在します。読み取り ony ユーザーの認証情報を使用して、攻撃者は「ApiListener」の「ticket_salt」を含むすべての構成オブジェクトのほとんどの属性を表示できます。このソルトは、あらゆる共通名 (CN ) のチケットを計算するのに十分です。チケット、マスターノードの証明書、および自己署名証明書があれば、Icinga に必要な証明書を正常にリクエストできます。この証明書は、エンドポイントまたは API ユーザーの ID を盗むために使用される可能性があります。
    バージョン 2.12.5および 2.11.10の両方に、この脆弱性の修正が含まれています。回避策として、クエリ可能なタイプを明示的に指定するか、ApiListener オブジェクトをフィルターで除外することができます。(CVE-2021-32739)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2816 公告中提及的多個弱點影響。

  - Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。2.4.0 版至 2.12.4] 版中有一個弱點，經驗證的 API 使用者可藉此提升權限。攻擊者可利用唯讀使用者的認證，檢視所有組態物件 (包括「ApiListener」的「ticket_salt」) 的大多數屬性。此 salt 足以計算每個可能的通用名稱 (CN) 的票證。票證、主節點的憑證和自我簽署的憑證足以成功從 Icinga 要求所需的憑證，而該憑證可能進而用於竊取端點或 API 使用者的身分。
     2.12.5 和 2.11.10 版都包含此弱點的修正程式。因應措施為明確指定可查詢的類型，或篩選出 ApiListener 物件。(CVE-2021-32739)

  - Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。在 2.11.10 之前版本以及 2.12.0 至 2.12.4 版的 Icinga 2 中，有些需要外部服務認證的功能會透過 API 將這些認證公開給具有對應物件類型讀取權限經驗證的 API 使用者。IdoMysqlConnection 和 IdoPgsqlConnection (已發布的所有版本) 會洩漏用於連線至資料庫的使用者密碼。IcingaDB (在 2.12.0 中新增) 會洩漏用於連線至 Redis 伺服器的密碼。ElasticsearchWriter (在 2.8.0 中新增) 會洩漏用於連線至 Elasticsearch 伺服器的密碼。取得這些認證的攻擊者可冒充 Icinga 存取這些服務，並新增、修改和刪除其中的資訊。如果正在使用具有更多權限的認證，則會相應增加影響。從 2.11.10 和 2.12.5 版開始，不再可透過 API 洩漏這些密碼。因應措施是，藉由僅明確列出物件查詢權限所需的物件類型，或套用篩選規則，可將 API 使用者權限限制為不允許查詢任何受影響的物件。(CVE-2021-32743)

  - Icinga 是一個監控系統，可檢查網路資源的可用性、通知使用者中斷情況，並產生用於報告的效能資料。在 2.5.0 至 2.13.0 版中，儘管已指定憑證授權單位，但 ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 並未驗證伺服器的憑證。若 Icinga 2 執行個體透過可偽造的基礎結構使用 TLS 連線至上述任何時間序列資料庫 (TSDB)，則應立即升級至 2.13.1、 2.12.6 或 2.11.11 版，以修補該問題。此類執行個體也應變更 TSDB 寫入器功能用來針對 TSDB 進行驗證的認證 (若有)。除了升級外，沒有其他因應措施。(CVE-2021-37698)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3953 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3953-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：icinga2 版本：2.12.3-1+deb11u1 CVE ID： CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369 Debian 錯誤：991494 1087384

    Icinga 2 是一種通用型監控應用程式，可滿足任何規模的網路需求。

    CVE-2021-32739

        2.4.0 版至 2.12.4] 版中有一個弱點，經驗證的 API 使用者可藉此提升權限。攻擊者可利用唯讀使用者的認證，檢視所有組態物件 (包括「ApiListener」的「ticket_salt」) 的大多數屬性。此 salt 足以計算每個可能的通用名稱 (CN) 的票證。票證、主節點的憑證和自我簽署的憑證足以成功從 Icinga 要求所需的憑證，而該憑證可能進而用於竊取端點或 API 使用者的身分。

    CVE-2021-32743

        在 2.11.10 之前版本以及 2.12.0 至 2.12.4 版的 Icinga 2 中，有些需要外部服務認證的功能會透過 API 將這些認證公開給具有對應物件類型讀取權限經驗證的 API 使用者。取得這些認證的攻擊者可冒充 Icinga 存取這些服務，並新增、修改和刪除其中的資訊。

    CVE-2021-37698

        在 2.5.0 至 2.13.0 版中，儘管已指定憑證授權單位，但 ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 並未驗證伺服器的憑證。若 Icinga 2 執行個體在可偽造的基礎結構上使用 TLS 連線至任何上述時間序列資料庫 (TSDB)，應該變更 TSDB 寫入器功能針對 TSDB 進行驗證所使用的認證 (若有)。

    CVE-2024-49369

        從 2.4.0 開始的所有 Icinga 2 版本中的 TLS 憑證驗證皆存有瑕疵，可允許攻擊者假冒受信任的叢集節點，以及使用 TLS 用戶端憑證進行驗證的任何 API 使用者 (具有 client_cn 屬性集的 ApiUser 物件)。

    針對 Debian 11 Bullseye，這些問題已在 2.12.3-1+deb11u1 版本中修正。

    建議您升級 icinga2 套件。

    如需有關 icinga2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/icinga2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 9 主机上安装的多个程序包受到 dla-2816 公告中提及的多个漏洞影响。

  - Icinga 是一个监控系统，用于检查网络资源的可用性、通知用户中断情况，以及生成性能报告数据。版本 2.4.0 到版本 2.12.4 存在一个漏洞，此漏洞可能允许经过身份验证的 API 用户提升特权。攻击者可以利用只读用户的凭据，查看所有配置对象的大部分属性，其中包括“ApiListener”的“ticket_salt”。此 salt 足以计算每个可能公用名 (CN) 的票证。票证、主控端节点的证书和自签名证书足以从 Icinga 成功请求所需证书。反之，该证书可能用于窃取端点或 API 用户的身份。
    2.12.5 和 2.11.10 版本均包含该漏洞的修复程序。作为变通方案，可以明确指定可查询类型或过滤掉 ApiListener 对象。(CVE-2021-32739)

  - Icinga 是一个监控系统，用于检查网络资源的可用性、通知用户中断情况，以及生成性能报告数据。在 2.11.10 之前的版本及 2.12.0 至 2.12.4 版本中，某些需要外部服务的凭据的 Icinga 2 功能会通过 API，向具有相应对象类型读取权限且经过身份验证的 API 用户暴露这些凭据。IdoMysqlConnection 和 IdoPgsqlConnection（每个已发布版本）会泄露用于连接到数据库的用户密码。IcingaDB（在 2.12.0 中添加）会泄露用于连接到 Redis 服务器的密码。ElasticsearchWriter（在 2.8.0 中添加）会泄露用于连接到 Elasticsearch 服务器的密码。获得这些凭据的攻击者可以冒充 Icinga 访问这些服务，并在其中添加、修改和删除信息。如果正在使用具有更多权限的凭据，则会相应增加影响。从 2.11.10 和 2.12.5 版本开始，这些密码无法再通过 API 泄露。变通方案是通过仅明确列出对象查询权限所需的对象类型或应用过滤规则，将 API 用户权限限制为不允许查询任何受影响的对象。(CVE-2021-32743)

  - Icinga 是一个监控系统，用于检查网络资源的可用性、通知用户中断情况，以及生成性能报告数据。在 2.5.0 至 2.13.0 版本中，尽管已指定证书颁发机构，ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 仍不会验证服务器的证书。通过可欺骗基础架构连接到使用 TLS 的任何上述时间序列数据库 (TSDB) 的 Icinga 2 实例应立即升级到版本 2.13.1、2.12.6 或 2.11.11，以修补该问题。此类实例还应更改 TSDB 编写器功能用于对 TSDB 进行身份验证的凭据（如有）。除升级外，没有其他变通方案。(CVE-2021-37698)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3953 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3953-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：icinga2 版本：2.12.3-1+deb11u1 CVE ID : CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369 Debian 缺陷：991494 1087384

    Icinga 2 作为一款通用监控应用程序，可满足任何规模的网络需求。

    CVE-2021-32739

        版本 2.4.0 到版本 2.12.4 存在一个漏洞，此漏洞可能允许经过身份验证的 API 用户提升特权。攻击者可以利用只读用户的凭据，查看所有配置对象的大部分属性，其中包括“ApiListener”的“ticket_salt”。此 salt 足以计算每个可能公用名 (CN) 的工单。只需工单、主控端节点的证书和自签名证书就可以从 Icinga 成功请求所需证书。反之，该证书也可用于窃取端点或 API 用户的身份。

    CVE-2021-32743

        在 2.11.10 之前的版本及 2.12.0 至 2.12.4 版本中，某些需要外部服务的凭据的 Icinga 2 功能会通过 API，向具有相应对象类型读取权限且经过身份验证的 API 用户暴露这些凭据。获得这些凭据的攻击者可以冒充 Icinga 访问这些服务，并在其中添加、修改和删除信息。

    CVE-2021-37698

        在 2.5.0 至 2.13.0 版本中，尽管已指定证书颁发机构，ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 仍不会验证服务器的证书。对于在可欺骗的基础设施上使用 TLS 连接到任何上述时间序列数据库 (TSDB) 的 Icinga 2 实例，应更改 TSDB 编写器功能使用的凭据（如有）以对数据库进行认证。

    CVE-2024-49369

        自 2.4.0 起的所有 Icinga 2 版本中的 TLS 证书验证均存在缺陷。该缺陷允许攻击者冒充受信任的群集节点和任何使用 TLS 客户端证书进行身份验证的 API 用户（具有 client_cn 属性集的 ApiUser 对象）。

    对于 Debian 11 bullseye，这些问题已在 2.12.3-1+deb11u1 版本中修复。

    我们建议您升级 Icinga 2 程序包。

    如需了解 Icinga 2 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/icinga2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
212183	GLSA-202412-08 : icinga2: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/12/9	2024/12/9	critical
250844	Linux Distros 未修補的弱點：CVE-2021-32739	Nessus	Misc.	2025/8/18	2025/10/14	high
212183	GLSA-202412-08：icinga2：多个漏洞	Nessus	Gentoo Local Security Checks	2024/12/9	2024/12/9	critical
250844	Linux Distros 未修补的漏洞：CVE-2021-32739	Nessus	Misc.	2025/8/18	2025/10/14	high
211508	Debian dla-3953 : icinga2 - security update	Nessus	Debian Local Security Checks	2024/11/18	2024/12/6	high
155060	Debian DLA-2816-1 : icinga2 - LTS security update	Nessus	Debian Local Security Checks	2021/11/11	2023/11/24	high
152064	openSUSE 15 Security Update : icinga2 (openSUSE-SU-2021:1089-1)	Nessus	SuSE Local Security Checks	2021/7/25	2023/12/6	critical
250844	Linux Distros Unpatched Vulnerability : CVE-2021-32739	Nessus	Misc.	2025/8/18	2025/10/14	high
212183	GLSA-202412-08：icinga2：多個弱點	Nessus	Gentoo Local Security Checks	2024/12/9	2024/12/9	critical
155060	Debian DLA-2816-1 : icinga2 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2021/11/11	2023/11/24	high
211508	Debian dla-3953 : icinga2 - セキュリティ更新	Nessus	Debian Local Security Checks	2024/11/18	2024/12/6	high
152064	openSUSE 15 セキュリティ更新 : icinga2 (openSUSE-SU-2021:1089-1)	Nessus	SuSE Local Security Checks	2021/7/25	2023/12/6	critical
250844	Linux Distros のパッチ未適用の脆弱性: CVE-2021-32739	Nessus	Misc.	2025/8/18	2025/10/14	high
155060	Debian DLA-2816-1：icinga2 - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/11/11	2023/11/24	high
211508	Debian dla-3953：icinga2 - 安全性更新	Nessus	Debian Local Security Checks	2024/11/18	2024/12/6	high
155060	Debian DLA-2816-1：icinga2 - LTS 安全更新	Nessus	Debian Local Security Checks	2021/11/11	2023/11/24	high
211508	Debian dla-3953：icinga2 - 安全更新	Nessus	Debian Local Security Checks	2024/11/18	2024/12/6	high

检测

插件搜索

critical

high

critical

high

high

high

critical

high

critical

high

high

critical

high

high

high

high

high