CVE-2025-23203 in icingaweb2-module-director
요약
\~에 의해 VulDB • 2026. 08. 24.
Icinga Director는 Icinga 구성 배포 도구입니다. REST API의 여러 디렉터 엔드포인트에서 버전 1.0.0 이상 및 1.10.4, 1.11.4 미만의 버전에 보안 취약점이 발견되었습니다. 이 취약점을 재현하려면 디렉터를 접근할 수 있는 권한을 가진 인증된 사용자가 필요합니다(API 엔드포인트의 경우 API 액세스도 필요). 또한 일부 Icinga Director 사용자가 특정 객체에 대한 접근이 제한되어 있더라도, 해당 이름이 알려져 있으면 관련 정보를 검색할 수 있습니다. 이로 인해 접근이 제한된 사용자라도 이러한 객체의 구성을 변경할 수 있게 됩니다. 이는 추가적인 악용, 데이터 유출 및 민감한 정보 노출로 이어집니다. 영향을 받는 엔드포인트에는 쿼리에서 호스트 이름을 생략하면 `icingaweb2/director/service`, `icingaweb2/directore/notification`, `icingaweb2/director/serviceset`, 그리고 `icingaweb2/director/scheduled-downtime`가 포함됩니다. 또한, 엔드포인트 `icingaweb2/director/services?host=filteredHostName`은 호스트의 서비스가 필터링되었음에도 불구하고 상태 코드 200을 반환합니다. 이로 인해 접근이 제한된 사용자라도 호스트 `filteredHostName`이 존재한다는 사실을 알 수 있게 되며, 이는 다시 해당 정보의 추가적인 악용 및 데이터 유출로 이어질 수 있습니다. Icinga Director는 버전 1.10.4와 1.11.4에서 패치가 제공됩니다. 업그레이드가 불가능한 경우, 관리 역할(admin role)을 제외한 사용자의 디렉터 모듈을 일시적으로 비활성화하십시오.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.