CVE-2025-61909 Icinga 2权限提升漏洞

漏洞信息

漏洞编号

CVE-2025-61909

漏洞类型

权限提升/信号处理不当

CVSS评分

4.4 中危

攻击向量

本地 (AV:L)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

Icinga 2

漏洞概述

Icinga 2是一款广泛使用的开源监控系统，该漏洞（CVE-2025-61909）存在于其随包分发的safe-reload脚本和logrotate配置中。从2.10.0版本开始到2.15.1、2.14.7和2.13.13之前的版本，Icinga 2的safe-reload脚本（在执行systemctl reload icinga2时也会被调用）以及logrotate配置存在一个权限提升问题。具体而言，这些脚本从由Icinga守护进程用户可写的PID文件中读取主Icinga 2进程的PID，然后以root用户身份向该PID发送信号。由于PID文件可被Icinga用户修改，攻击者（拥有Icinga用户权限）可以通过篡改PID文件中的PID值，使root用户向任意进程发送信号。这可能导致Icinga用户向其原本无权控制的进程发送信号，例如终止关键服务或干扰其他系统进程，从而造成可用性影响。该漏洞的CVSS 3.1评分为4.4分，属于中危级别，攻击向量为本地，需要高权限（Icinga用户权限），无需用户交互，主要影响为可用性（高）。该漏洞已在Icinga 2的2.15.1、2.14.7和2.13.13版本中修复。

技术细节

该漏洞的核心问题在于safe-reload脚本和logrotate配置中的权限分离不当。

技术原理：
1. Icinga 2守护进程以专用的Icinga用户身份运行，其PID存储在通常位于/var/run/icinga2/icinga2.pid的PID文件中。
2. 该PID文件的权限设置允许Icinga用户进行写入操作。
3. 当执行systemctl reload icinga2或logrotate触发日志轮转时，safe-reload脚本会以root权限运行。
4. 脚本读取PID文件中的PID值，然后以root身份向该PID发送信号（如SIGHUP用于重新加载配置）。
5. 由于PID文件可被Icinga用户写入，攻击者可以在脚本读取之前修改PID文件中的值，将其替换为任意进程的PID。

利用方式：
1. 攻击者首先获取Icinga用户权限（可能是通过其他漏洞或配置错误）。
2. 攻击者确定目标进程的PID（例如关键系统服务或另一个用户的进程）。
3. 攻击者将目标PID写入Icinga 2的PID文件。
4. 触发safe-reload操作（如等待logrotate自动执行或手动执行systemctl reload icinga2）。
5. root权限的脚本读取被篡改的PID，并向目标进程发送信号。
6. 攻击者可以选择发送不同类型的信号来实现不同的效果，如SIGTERM终止进程、SIGSTOP暂停进程等。

此漏洞利用了权限分离中的TOCTOU（Time of Check to Time of Use）问题，即脚本在以root身份操作时信任了低权限用户可修改的数据。

攻击链分析

STEP 1

步骤1：获取Icinga用户权限

攻击者通过其他漏洞、配置错误或社会工程学手段获取Icinga 2守护进程用户（icinga/icinga2）的本地权限。

STEP 2

步骤2：确定目标进程

攻击者枚举系统上的进程，确定要攻击的目标进程PID，例如关键服务进程或其他用户的进程。

STEP 3

步骤3：篡改PID文件

由于Icinga 2的PID文件（如/var/run/icinga2/icinga2.pid）可被Icinga用户写入，攻击者将目标进程的PID写入该PID文件，覆盖原有的Icinga 2守护进程PID。

STEP 4

步骤4：触发safe-reload

攻击者通过等待logrotate自动触发、手动执行systemctl reload icinga2或直接调用safe-reload脚本来触发以root权限运行的脚本。

STEP 5

步骤5：root脚本读取篡改的PID

以root权限运行的safe-reload脚本读取PID文件，获取到被篡改的目标进程PID，并向该进程发送信号（如SIGHUP）。

STEP 6

步骤6：影响目标进程

目标进程接收到来自root上下文的信号，可能导致进程终止、暂停或重新加载配置，从而影响系统可用性或完整性。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-61909 - Icinga 2 PID File Manipulation PoC
# This PoC demonstrates how an attacker with Icinga user privileges
# can trick the safe-reload script (running as root) into sending
# signals to arbitrary processes.

# Step 1: Identify the Icinga 2 PID file location
PID_FILE="/var/run/icinga2/icinga2.pid"

# Step 2: Check current permissions on the PID file
ls -la $PID_FILE

# Step 3: Identify a target process PID (e.g., a critical service)
# Example: target PID of another service like sshd or a database
TARGET_PID=$(pgrep -o sshd)
echo "Target PID: $TARGET_PID"

# Step 4: As the Icinga user, overwrite the PID file with the target PID
echo $TARGET_PID > $PID_FILE

# Step 5: Trigger the safe-reload (runs as root, reads PID file)
# This can be done by:
#   a) Waiting for logrotate to trigger
#   b) Running: sudo systemctl reload icinga2
#   c) Running: /usr/lib/icinga2/safe-reload
# The root-owned script will read the manipulated PID and send
# a signal (e.g., SIGHUP) to the target process.

# Alternative: Send SIGTERM to a critical process
# echo $TARGET_PID > $PID_FILE
# systemctl reload icinga2  # triggers safe-reload as root

# Step 6: Verify the target process received the signal
ps -p $TARGET_PID

影响范围

Icinga 2 >= 2.10.0, < 2.13.13

Icinga 2 >= 2.14.0, < 2.14.7

Icinga 2 >= 2.15.0, < 2.15.1

防御指南

临时缓解措施

在无法立即升级的情况下，可以采取以下临时缓解措施：1）将Icinga 2的PID文件权限修改为仅root可写（chown root:root /var/run/icinga2/icinga2.pid && chmod 644），防止Icinga用户篡改；2）手动修改safe-reload脚本，在发送信号前验证目标进程的可执行文件路径是否与Icinga 2二进制文件匹配；3）限制Icinga用户对系统的访问权限，减少被利用的风险；4）监控PID文件的变更，及时发现异常修改行为。