Vulnerabilidad en las variables personalizadas en Icinga Web 2 (CVE-2021-32747)

Icinga Web 2 es una interfaz web de monitoreo de código abierto, un marco de trabajo y una interfaz de línea de comandos. Una vulnerabilidad entre las versiones 2.0.0 y 2.8.2, se presenta en la que las variables personalizadas son expuestas a usuarios no autorizados. Las variables personalizadas son claves y valores definidos por el usuario en los objetos de configuración de Icinga 2. Estas son comúnmente usadas para referenciar secretos en otras configuraciones tales como comandos de comprobación para poder autenticarse con un servicio que está siendo comprobado. Icinga Web 2 muestra estas variables personalizadas a los usuarios registrados con acceso a dichos hosts o servicios. Para proteger que los secretos sean visibles para cualquiera, es posible configurar reglas de protección y listas negras en el rol de un usuario. Las reglas de protección resultan en que se muestre "***" en lugar del valor original, la clave permanecerá. Unas listas negras ocultarán una variable personalizada por completo al usuario. Además de utilizar la interfaz de usuario, también se puede acceder a las variables personalizadas de forma diferente usando un parámetro de URL no documentado. Al añadir un parámetro a las rutas afectadas, Icinga Web 2 mostrará estas columnas adicionalmente en la lista respectiva. Este parámetro es también respetado al exportar a JSON o CSV. Sin embargo, las reglas de protección y las listas negras no tienen efecto en este caso. Las variables personalizadas se muestran tal cual en el resultado. Este problema ha sido corregido en las versiones 2.9.0, 2.8.3 y 2.7.5. Como solución alternativa, se puede ajustar una restricción para ocultar hosts y servicios con la variable personalizada en cuestión