Nilmerg

**Nome do Software Vulnerável e Versões Afetadas** Icinga Web versões anteriores a 0.13.1 **Descrição** Um problema permite que um invasor injete Javascript malicioso no navegador de uma vítima para executá-lo no contexto do Icinga Web. Isso ocorre quando a vítima visita um site especificamente preparado, potencialmente sem notar qualquer atividade suspeita. **Recomendações** Atualize para a versão 0.13.1. Ative a Política de Segurança de Conteúdo (CSP) na configuração geral do Icinga Web.

**Nome do Software Vulnerável e Versões Afetadas** Icinga DB Web versões 1.2.0 até 1.2.1 **Descrição** O Icinga DB Web, uma interface gráfica para o monitoramento Icinga, permite que usuários com acesso às Visualizações de Dependência do Icinga visualizem hosts e serviços aos quais não estão autorizados a acessar no mapa de dependências. O nome do objeto não é revelado, e o acesso às visualizações de detalhes não é concedido. Este problema afeta as restrições `filter/hosts` e `filter/services`. **Recomendações** Faça downgrade para a versão 1.1.3. Atualize para a versão 1.2.2.

**Nome do software vulnerável e versões afetadas** Icinga Web, versões 2.12.0 e posteriores Icinga DB Web, versões 1.0.0 e posteriores Icinga Notifications Web, versões 0.1.0 e posteriores Icinga Web JIRA Integration, versões 1.3.0 e posteriores **Descrição** O problema está relacionado à falsificação de solicitação entre sites (CSRF) em determinadas circunstâncias. Todos os produtos afetados deixarão de ser afetados assim que a `icinga-php-library` for atualizada. **Recomendações** Para as versões 2.12.0 e posteriores do Icinga Web, atualize a `icinga-php-library` para a versão 0.10.1 ou posterior, que será publicada como parte do lançamento da `icinga-php-library` v0.14.1. Para as versões 1.0.0 e posteriores do Icinga DB Web, atualize a `icinga-php-library` para a versão 0.10.1 ou posterior, que será publicada como parte do lançamento da `icinga-php-library` v0.14.1. Para as versões 0.1.0 e posteriores do Icinga Notifications Web, atualize a `icinga-php-library` para a versão 0.10.1 ou posterior, que será publicada como parte do lançamento da `icinga-php-library` v0.14.1. Para as versões 1.3.0 e posteriores do Icinga Web JIRA Integration, atualize a `icinga-php-library` para a versão 0.10.1 ou posterior, que será publicada como parte do lançamento da `icinga-php-library` v0.14.1.

**Nome do software vulnerável e versões afetadas** Versões do `icingaweb2-module-incubator` anteriores à 0.22.0 **Descrição** O problema diz respeito à classe `gipflWebForm`, que é a base para várias implementações concretas de formulários e fornece proteção contra falsificação de solicitação entre sites (CSRF) por padrão. No entanto, mesmo quando habilitada, o token CSRF enviado durante o envio de um formulário pelo cliente que depende dela não é validado. Isso permite que invasores realizem alterações em nome de um usuário que, sem saber, interage com um link ou site preparado. **Recomendações** Para versões anteriores à 0.22.0, atualize para a versão 0.22.0 para corrigir o problema. Como solução alternativa temporária, considere desativar a classe `gipflWebForm` até que um patch esteja disponível. No entanto, como não há soluções alternativas conhecidas para essa vulnerabilidade, a atualização para a versão corrigida é a ação recomendada.

**Name of the Vulnerable Software and Affected Versions** icingaweb2-module-jira versions 1.3.0 through 1.3.2 **Description** The issue affects the integration with Atlassian Jira, where template and field configuration forms perform deletion actions before validating user input, including the cross-site request forgery token. This allows for potential unauthorized actions. The problem is fixed in version 1.3.2. **Recommendations** For versions 1.3.0 through 1.3.1, update to version 1.3.2 to resolve the issue. For version 1.3.2, no action is required as this version already contains the fix.

**Nome do software vulnerável e versões afetadas** Versões do Icinga Web 2 anteriores à 2.8.6 Versões do Icinga Web 2 anteriores à 2.9.6 Versões do Icinga Web 2 anteriores à 2.10 **Descrição** O Icinga Web 2 é uma interface web de monitoramento de código aberto, uma estrutura e uma interface de linha de comando. Usuários autenticados, com acesso à configuração, podem criar arquivos de recursos SSH em diretórios não previstos, levando à execução de código arbitrário. **Recomendações** Para versões anteriores à 2.8.6, atualize para a versão 2.8.6 ou posterior. Para versões anteriores à 2.9.6, atualize para a versão 2.9.6 ou posterior. Para versões anteriores à 2.10, atualize para a versão 2.10 ou posterior. Como solução temporária para usuários que não possam atualizar, limite o acesso à configuração do Icinga Web 2.

**Nome do software vulnerável e versões afetadas** Versões do Icinga Web 2 anteriores à 2.8.6 Versões do Icinga Web 2 anteriores à 2.9.6 Versões do Icinga Web 2 anteriores à 2.10 **Descrição** O Icinga Web 2 é uma interface web de monitoramento, uma estrutura e uma interface de linha de comando de código aberto. As instalações do Icinga 2 com o gravador IDO ativado são afetadas. Se você usa variáveis personalizadas de serviço em restrições de função e desativa regularmente objetos de serviço, os usuários com essas funções ainda podem ter acesso a uma coleção de conteúdo. Observe que isso só se aplica se uma função tiver acesso implicitamente permitido a hosts, devido ao acesso permitido a pelo menos um de seus serviços. Se o acesso a um host for permitido por outros meios, nenhuma informação confidencial foi divulgada a usuários não autorizados. **Recomendações** Para versões do Icinga Web 2 anteriores à 2.8.6, atualize para a versão 2.8.6 ou posterior. Para versões do Icinga Web 2 anteriores à 2.9.6, atualize para a versão 2.9.6 ou posterior. Para versões do Icinga Web 2 anteriores à 2.10, atualize para a versão 2.10 ou posterior.

**Nome do software vulnerável e versões afetadas** Icinga Web 2, versões 2.0.0 a 2.8.2 **Descrição** Existe uma vulnerabilidade no Icinga Web 2 em que variáveis personalizadas ficam expostas a usuários não autorizados. Variáveis personalizadas são chaves e valores definidos pelo usuário em objetos de configuração no Icinga 2, comumente usados para fazer referência a segredos em outras configurações. O Icinga Web 2 exibe essas variáveis personalizadas para usuários conectados com acesso aos referidos hosts ou serviços. Regras de proteção e listas negras podem ser configuradas para proteger os segredos, mas elas não surtem efeito quando as variáveis personalizadas são acessadas por meio de um parâmetro de URL não documentado. Esse parâmetro permite que as variáveis personalizadas sejam exibidas tal como estão no resultado, mesmo ao exportar para JSON ou CSV. **Recomendações** Para as versões 2.0.0 a 2.8.2, atualize para a versão 2.9.0, 2.8.3 ou 2.7.5 para resolver o problema. Como solução alternativa temporária, configure uma restrição para ocultar hosts e serviços com a variável personalizada em questão.

**Nome do software vulnerável e versões afetadas** Icinga Web 2, versões 2.3.0 a 2.8.2 **Descrição** A vulnerabilidade no módulo `doc` do Icinga Web 2 permite que um invasor obtenha acesso a arquivos arbitrários legíveis pelo usuário do servidor web ao acessar uma determinada rota. O módulo `doc` deve ser habilitado manualmente por um administrador, e os usuários precisam de permissão de acesso explícita para utilizá-lo. Essa vulnerabilidade pode ser explorada remotamente, permitindo que um invasor acesse dados confidenciais. **Recomendações** Para as versões 2.3.0 a 2.8.2, atualize para a versão 2.9.0, 2.8.3 ou 2.7.5 para resolver a vulnerabilidade. Como solução temporária, considere desativar o módulo `doc` ou revogar a permissão de uso para todos os usuários.