Fehlerhafte Zertifikatsprüfung in Icinga 2

Beschreibung

In Icinga 2, einem System zur Überwachung der Verfügbarkeit von Netzwerkressourcen, kann die Funktion VerifyCertificate() dazu gebracht werden, Zertifikate fälschlicherweise als gültig zu behandeln. Dadurch kann ein Angreifer ein gültiges Zertifikat erlangen und vertrauenswürdige Knoten imitieren. Betroffen sind Versionen vor 2.12.12, 2.13.12 und 2.14.6, sofern Icinga 2 mit OpenSSL älter als 1.1.0 kompiliert wurde. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2.12.12, 2.13.12 oder 2.14.6.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Icinga

• Icinga 2 – Fehlerhafte TLS-Zertifikatsvalidierung ermöglicht Impersonation CVE-2024-49369
• Icinga Director Cross-Site-Request-Forgery in Konfigurationsformularen CVE-2024-24820
• Icinga Web 2 – Cross-Site Scripting über präparierte URL CVE-2025-27404
• Icinga Web 2: Cross-Site-Scripting über präparierte URL CVE-2025-27405
• Linuxfabrik monitoring-plugins – vorhersagbarer Pfad bei Logfile-Check-Migration CVE-2026-67433
• Linuxfabrik monitoring-plugins – unsichere URL-Erstellung in redfish-*-Plugins CVE-2026-67436