Vulnerabilidad en algunas de las funcionalidades en los usuarios autenticados de la API en Icinga (CVE-2021-32743)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

15/07/2021

Última modificación:

03/11/2025

Descripción

Icinga es un sistema de monitorización que comprueba la disponibilidad de los recursos de la red, notifica a los usuarios de las interrupciones y genera datos de rendimiento para informes. En las versiones anteriores a 2.11.10 y desde versión 2.12.0 hasta versión 2.12.4, algunas de las funcionalidades de Icinga 2 que requieren credenciales para servicios externos exponen dichas credenciales mediante la API a los usuarios autenticados de la API con permisos de lectura para los tipos de objetos correspondientes. IdoMysqlConnection y IdoPgsqlConnection (cada versión liberada) expone la contraseña del usuario usado para conectarse a la base de datos. IcingaDB (añadido en versión 2.12.0) expone la contraseña usada para conectarse al servidor Redis. ElasticsearchWriter (añadido en versión 2.8.0) expone la contraseña usada para conectarse al servidor Elasticsearch. Un atacante que obtenga estas credenciales puede hacerse pasar por Icinga a estos servicios y añadir, modificar y eliminar información allí. Si las credenciales con más permisos están en uso, el impacto aumenta acorde. A partir de las versiones 2.11.10 y 2.12.5, estas contraseñas ya no están expuestas por medio de la API. Como solución, los permisos de usuario de la API pueden restringirse para no permitir la consulta de los objetos afectados, ya sea enumerando explícitamente sólo los tipos de objetos requeridos para los permisos de consulta de objetos o aplicando una regla de filtro

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico

Puntuación base 2.0

6.50

Gravedad 2.0

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:icinga:icinga::::::::	2.0.0 (incluyendo)	2.11.10 (excluyendo)
cpe:2.3:a:icinga:icinga::::::::	2.12.0 (incluyendo)	2.12.5 (excluyendo)
cpe:2.3:o:debian:debian_linux:9.0:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en algunas de las funcionalidades en los usuarios autenticados de la API en Icinga (CVE-2021-32743)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información