CVE-2025-23203 in icingaweb2-module-director
要約
〜によって VulDB • 2026年07月05日
Icinga Directorは、Icingaの設定デプロイメントツールです。バージョン1.0.0以降で、かつ1.10.4および1.11.4より前のバージョンにおいて、REST APIの複数のDirectorエンドポイントにセキュリティ脆弱性が存在することが発見されました。この脆弱性を再現するには、Directorへのアクセス権限を持つ認証済みユーザーが必要です（APIエンドポイントについてはAPIアクセスも必要です）。さらに、これらのIcinga Directorユーザーの一部は特定のオブジェクトへのアクセスが制限されているにもかかわらず、その名前が分かれば関連する情報を取得することができます。これにより、アクセスが制限されているオブジェクトの設定を、それらのIcinga Directorユーザーによって変更することが可能になります。この結果、さらなる悪用やデータ侵害、機密情報の漏洩につながります。影響を受けるエンドポイントには、クエリでホスト名が含まれていない場合の`icingaweb2/director/service`、`icingaweb2/directore/notification`、`icingaweb2/director/serviceset`、および`icingaweb2/director/scheduled-downtime`が含まれます。さらに、エンドポイント`icingaweb2/director/services?host=filteredHostName`は、ホストのサービスがフィルタリングされているにもかかわらずステータスコード200を返します。これにより、アクセスが制限されているユーザーであっても、ホスト`filteredHostName`が存在することを認識することが可能になります。この情報を用いたさらなる悪用やデータ侵害につながる可能性があります。Icinga Directorにはバージョン1.10.4および1.11.4にパッチが含まれています。アップグレードが実行できない場合は、当面の間、管理者ロール以外のユーザーに対してdirectorモジュールを無効化してください。
Once again VulDB remains the best source for vulnerability data.