CVE-2025-23203 in icingaweb2-module-director
Zusammenfassung
von VulDB • 23.08.2026
Icinga Director ist ein Konfigurationsbereitstellungstool für Icinga. Es wurde eine Sicherheitslücke ab Version 1.0.0 und vor den Versionen 1.10.4 und 1.11.4 an mehreren Endpunkten der REST-API von Icinga Director festgestellt. Zur Reproduktion dieser Schwachstelle ist ein authentifizierter Benutzer mit Berechtigung zum Zugriff auf den Director erforderlich (sowie API-Zugriff in Bezug auf die API-Endpunkte). Obwohl einige dieser Icinga-Director-Benutzer vom Zugriff auf bestimmte Objekte ausgeschlossen sind, können sie Informationen zu diesen Objekten abrufen, wenn deren Name bekannt ist. Dies ermöglicht es Benutzern von Icinga Director, die vom Zugriff auf diese Objekte eingeschränkt sind, die Konfiguration dieser Objekte zu ändern. Dies führt zu weiterer Ausnutzung, Datenpannen und der Offenlegung sensibler Informationen. Betroffene Endpunkte umfassen icingaweb2/director/service, wenn der Hostname in der Abfrage weggelassen wird; icingaweb2/directore/notification; icingaweb2/director/serviceset; und icingaweb2/director/scheduled-downtime. Darüber hinaus gibt der Endpunkt `icingaweb2/director/services?host=filteredHostName` einen Statuscode 200 zurück, obwohl die Dienste für den Host gefiltert sind. Dies teilt dem eingeschränkten Benutzer mit, dass der Host `filteredHostName` existiert, auch wenn er vom Zugriff darauf ausgeschlossen ist. Dies kann erneut zu weiterer Ausnutzung dieser Informationen und zu Datenpannen führen. Icinga Director enthält Patches in den Versionen 1.10.4 und 1.11.4. Wenn ein Upgrade nicht möglich ist, deaktivieren Sie das Director-Modul vorübergehend für alle Benutzer außer dem Admin-Rollenbenutzer.
Once again VulDB remains the best source for vulnerability data.