The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Icinga Web 2 before 2.6.2 has CSRF via /icingaweb2/config/moduledisable?name=monitoring to disable the     monitoring module, or via /icingaweb2/config/moduleenable?name=setup to enable the setup module.
    (CVE-2018-18246)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update for icingaweb2 to version 2.7.3 fixes the following issues :

icingaweb2 update to 2.7.3 :

  - Fixed an issue where servicegroups for roles with     filtered objects were not available 

icingaweb2 update to 2.7.2 :

  - Performance imrovements and bug fixes

icingaweb2 update to 2.7.1 :

  - Highlight links in the notes of an object 

  - Fixed an issue where sort rules were no longer working

  - Fixed an issue where statistics were shown with an     anarchist way

  - Fixed an issue where wildcards could no show results 

icingaweb2 update to 2.7.0 :

  - New languages support

  - Now module developers got additional ways to customize     Icinga Web 2

  - UI enhancements 

icingaweb2 update to 2.6.3 :

  - Fixed various issues with LDAP

  - Fixed issues with timezone

  - UI enhancements 

  - Stability fixes

icingaweb2 update to 2.6.2 :

You can find issues and features related to this release on our Roadmap. This bugfix release addresses the following topics :

  - Database connections to MySQL 8 no longer fail

  - LDAP connections now have a timeout configuration which     defaults to 5 seconds

  - User groups are now correctly loaded for externally     authenticated users

  - Filters are respected for all links in the host and     service group overviews

  - Fixed permission problems where host and service actions     provided by modules were missing

  - Fixed a SQL error in the contact list view when     filtering for host groups

  - Fixed time zone (DST) detection

  - Fixed the contact details view if restrictions are     active

  - Doc parser and documentation fixes

Fix security issues :

  - CVE-2018-18246: fixed an CSRF in moduledisable     (boo#1119784)

  - CVE-2018-18247: fixed an XSS via     /icingaweb2/navigation/add (boo#1119785)

  - CVE-2018-18248: fixed an XSS attack is possible via     query strings or a dir parameter (boo#1119801)

  - CVE-2018-18249: fixed an injection of PHP ini-file     directives involves environment variables as channel to     send out information (boo#1119799)

  - CVE-2018-18250: fixed parameters that can break     navigation dashlets (boo#1119800)

  - Remove setuid from new upstream spec file for following     dirs :

    /etc/icingaweb2, /etc/icingaweb/modules,     /etc/icingaweb2/modules/setup,     /etc/icingaweb2/modules/translation, /var/log/icingaweb2

icingaweb2 updated to 2.6.1 :

  - You can find issues and features related to this release     on our     [Roadmap](https://github.com/Icinga/icingaweb2/milestone     /51?closed=1).

  - The command audit now logs a command's payload as JSON     which fixes a     [bug](https://github.com/Icinga/icingaweb2/issues/3535)     that has been introduced in version 2.6.0.

icingaweb2 was updated to 2.6.0 :

  - You can find issues and features related to this release     on our Roadmap.

  - Enabling you to do stuff you couldn't before

  - Support for PHP 7.2 added

  - Support for SQLite resources added

  - Login and Command (monitoring) auditing added with the     help of a dedicated module

  - Pluginoutput rendering is now hookable by modules which     allows to render custom icons, emojis and .. cute     kitties :octocat :

  - Avoiding that you miss something

  - It's now possible to toggle between list- and grid-mode     for the host- and servicegroup overviews

  - The servicegrid now supports to flip its axes which     allows it to be put into a landscape mode

  - Contacts only associated with services are visible now     when restricted based on host filters

  - Negated and combined membership filters now work as     expected (#2934)

  - A more prominent error message in case the monitoring     backend goes down

  - The filter editor doesn't get cleared anymore upon     hitting Enter

  - Making your life a bit easier

  - The tactical overview is now filterable and can be     safely put into the dashboard

  - It is now possible to register new announcements over     the REST Api

  - Filtering for custom variables now works in UTF8     environments

  - Ensuring you understand everything

  - The monitoring health is now beautiful to look at and     properly behaves in narrow environments

  - Updated German localization

  - Updated Italian localization

  - Freeing you from unrealiable things

  - Removed support for PHP < 5.6

  - Removed support for persistent database connections

このicingaweb2のバージョン2.7.3への更新では、次の問題を修正します：

icingaweb2の2.7.3への更新：

  - オブジェクトがフィルタリングされたロールのサービスグループが利用できない問題を修正しました 

icingaweb2の2.7.2への更新：

  - パフォーマンスの向上とバグ修正

icingaweb2の2.7.1への更新：

  - オブジェクトの注記内のリンクを強調表示します 

  - ソートルールが機能しなくなった問題を修正しました

  - 統計が無秩序に表示される問題を修正しました

  - ワイルドカードで結果が表示されない問題を修正しました 

icingaweb2の2.7.0への更新：

  - 新しい言語のサポート

  - モジュール開発者は、新しい方法でIcinga Web 2をカスタマイズできるようになりました

  - UIの強化 

icingaweb2の2.6.3への更新：

  - LDAPに伴うさまざまな問題を修正しました

  - タイムゾーンに伴う問題を修正しました

  - UIの強化 

  - 安定性の修正

icingaweb2の2.6.2への更新：

このリリースに関連する問題や機能はロードマップで見つけることができます。このバグ修正リリースでは、次の項目が解決されます：

  - MySQL 8へのデータベース接続が失敗しなくなりました

  - LDAP接続のタイムアウトがデフォルトで5秒に設定されるようになりました

  - ユーザーグループが外部で認証されたユーザーに対して正しくロードされるようになりました

  - ホストとサービスグループの概要内のすべてのリンクでフィルターが優先されます

  - モジュールから提供されるホストとサービスのアクションが欠如している権限の問題を修正しました

  - ホストグループをフィルタリングする際の連絡先リストビューでのSQLエラーを修正しました

  - タイムゾーン（DST）の検出を修正しました

  - 制限がアクティブな場合の連絡先の詳細表示を修正しました

  - Docパーサーとドキュメントの修正

セキュリティ問題の修正：

  - CVE-2018-18246：moduledisable内のCSRFを修正しました（boo#1119784）

  - CVE-2018-18247：/icingaweb2/navigation/addを介したXSSを修正しました（boo#1119785）

  - CVE-2018-18248：クエリ文字列またはdirパラメーターを介して実行可能なXSS攻撃を修正しました（boo#1119801）

  - CVE-2018-18249：情報を送信するためのチャネルとしての環境変数に関連するPHP ini-fileディレクティブの挿入を修正しました（boo#1119799）

  - CVE-2018-18250：ナビゲーションダッシュレットを破壊する可能性のあるパラメーターを修正しました（boo#1119800）

  - 次のディレクトリ内の新しいUpstream specファイルからsetuidを削除します：

    /etc/icingaweb2、/etc/icingaweb/modules、/etc/icingaweb2/modules/setup、/etc/icingaweb2/modules/translation、/var/log/icingaweb2

icingaweb2の2.6.1への更新：

  - このリリースに関連する問題や機能は[ロードマップ]（https://github.com/Icinga/icingaweb2/milestone/51?closed=1）で見つけることができます。

  - コマンド監査で、コマンドのペイロードがJSONとして記録されるようになりました。これにより、バージョン2.6.0で導入された[バグ]（https://github.com/Icinga/icingaweb2/issues/3535）が修正されます。

icingaweb2の2.6.0への更新：

  - このリリースに関連する問題や機能はロードマップで見つけることができます。

  - 以前はできなかった作業を行えるようにします

  - PHP 7.2のサポートが追加されました

  - SQLiteリソースのサポートが追加されました

  - 専用モジュールによるログインとコマンド（モニタリング）の監査が追加されました

  - プラグイン出力のレンダリングがモジュールからフック可能になりました。これにより、カスタムアイコン、絵文字、およびCute Kittiesをレンダリングできます：octocat：

  - 何も見逃さないようにします

  - ホストグループとサービスグループの概要で、リストモードとグリッドモードを切り替えられるようになりました

  - servicegridで、軸を反転して横長で表示できるようになりました

  - ホストフィルターに基づいて制限されている場合は、サービスに関連付けられた連絡先のみが表示されるようになりました

  - 無効にされたまたは結合されたメンバーシップフィルターが想定どおりに機能するようになりました（#2934）

  - モニタリングバックエンドがダウンした場合のエラーメッセージが目立つようになりました

  - Enterの押下時にフィルターエディターがクリアされなくなりました

  - 操作性が向上しました

  - タクティカルオーバービューがフィルタリング可能になり、ダッシュボードに安全に配置できるようになりました

  - REST Api経由で新しいお知らせを登録できるようになりました

  - カスタム変数のフィルタリングがUTF8環境で機能するようになりました

  - 曖昧な表現をなくしました

  - モニタリングヘルスの表示が改善され、狭い環境でも正しく動作するようになりました

  - ドイツ語のローカライズを更新しました

  - イタリア語のローカライズを更新しました

  - 信頼性を高めました

  - より前のPHPのサポートを削除しました 5.6

  - 永続的なデータベース接続のサポートを削除しました

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 2.6.2 之前的 Icinga Web 2 透過 /icingaweb2/config/moduledisable?name=monitoring 停用監控模組或透過 /icingaweb2/config/moduleenable?name=setup 啟用設定模組具有 CSRF。
    (CVE-2018-18246)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2.6.2 之前的 IcingaWeb 2 具有 CSRF 通过 /icingaweb2/config/moduledisable?name=monitoring 禁用监控模块或通过 /icingaweb2/config/moduleenable?name=setup 启用设置模块。
    (CVE-2018-18246)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.6.2 より前の Icinga Web 2 には、/icingaweb2/config/moduledisable?name=monitoring 経由でモニタリングモジュールを無効にするか、または /icingaweb2/config/moduleenable?name=setup 経由で CSRF があり、セットアップモジュールが有効になります。
    (CVE-2018-18246)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
254691	Linux Distros Unpatched Vulnerability : CVE-2018-18246	Nessus	Misc.	2025/8/25	2025/8/25	medium
133031	openSUSE Security Update : icingaweb2 (openSUSE-2020-67)	Nessus	SuSE Local Security Checks	2020/1/17	2024/3/29	critical
133031	openSUSEセキュリティ更新プログラム：icingaweb2（openSUSE-2020-67）	Nessus	SuSE Local Security Checks	2020/1/17	2024/3/29	critical
254691	Linux Distros 未修補的弱點：CVE-2018-18246	Nessus	Misc.	2025/8/25	2025/8/25	medium
254691	Linux Distros 未修补的漏洞：CVE-2018-18246	Nessus	Misc.	2025/8/25	2025/8/25	medium
254691	Linux Distros のパッチ未適用の脆弱性: CVE-2018-18246	Nessus	Misc.	2025/8/25	2025/8/25	medium

検出

プラグインの検索

medium

critical

critical

medium

medium

medium