CVE-2021-32743

Icinga es un sistema de monitorización que comprueba la disponibilidad de los recursos de la red, notifica a los usuarios de las interrupciones y genera datos de rendimiento para informes. En las versiones anteriores a 2.11.10 y desde versión 2.12.0 hasta versión 2.12.4, algunas de las funcionalidades de Icinga 2 que requieren credenciales para servicios externos exponen dichas credenciales mediante la API a los usuarios autenticados de la API con permisos de lectura para los tipos de objetos correspondientes. IdoMysqlConnection y IdoPgsqlConnection (cada versión liberada) expone la contraseña del usuario usado para conectarse a la base de datos. IcingaDB (añadido en versión 2.12.0) expone la contraseña usada para conectarse al servidor Redis. ElasticsearchWriter (añadido en versión 2.8.0) expone la contraseña usada para conectarse al servidor Elasticsearch. Un atacante que obtenga estas credenciales puede hacerse pasar por Icinga a estos servicios y añadir, modificar y eliminar información allí. Si las credenciales con más permisos están en uso, el impacto aumenta acorde. A partir de las versiones 2.11.10 y 2.12.5, estas contraseñas ya no están expuestas por medio de la API. Como solución, los permisos de usuario de la API pueden restringirse para no permitir la consulta de los objetos afectados, ya sea enumerando explícitamente sólo los tipos de objetos requeridos para los permisos de consulta de objetos o aplicando una regla de filtro