This update for icinga2 fixes the following issues :

  - Info that since version 2.12.0 following security issue     is fixed: prepare-dirs script allows for symlink attack     in the icinga user context. boo#1172171 (CVE-2020-14004)

Update to 2.12.1 :

  - Bugfixes

  + Core

  - Fix crashes during config update #8348 #8345

  - Fix crash while removing a downtime #8228

  - Ensure the daemon doesn't get killed by logrotate #8170

  - Fix hangup during shutdown #8211

  - Fix a deadlock in Icinga DB #8168

  - Clean up zombie processes during reload #8376

  - Reduce check latency #8276

  + IDO

  - Prevent unnecessary IDO updates #8327 #8320

  - Commit IDO MySQL transactions earlier #8349

  - Make sure to insert IDO program status #8330

  - Improve IDO queue stats logging #8271 #8328 #8379

  + Misc

  - Ensure API connections are closed properly #8293

  - Prevent unnecessary notifications #8299

  - Don't skip null values of command arguments #8174

  - Fix Windows .exe version #8234

  - Reset Icinga check warning after successful config     update #8189

Update to 2.12.0 :

  - Breaking changes

  - Deprecate Windows plugins in favor of our

  - PowerShell plugins #8071

  - Deprecate Livestatus #8051

  - Refuse acknowledging an already acknowledged checkable     #7695

  - Config lexer: complain on EOF in heredocs, i.e.
    (((abc<EOF> #7541

  - Enhancements

  + Core

  - Implement new database backend: Icinga DB #7571

  - Re-send notifications previously suppressed by their     time periods #7816

  + API

  - Host/Service: Add acknowledgement_last_change and     next_update attributes #7881 #7534

  - Improve error message for POST queries #7681

  - /v1/actions/remove-comment: let users specify themselves     #7646

  - /v1/actions/remove-downtime: let users specify     themselves #7645

  - /v1/config/stages: Add 'activate' parameter #7535

  + CLI

  - Add pki verify command for better TLS certificate     troubleshooting #7843

  - Add OpenSSL version to 'Build' section in --version     #7833

  - Improve experience with 'Node Setup for     Agents/Satellite' #7835

  + DSL

  - Add get_template() and get_templates() #7632

  - MacroProcessor::ResolveArguments(): skip null argument     values #7567

  - Fix crash due to dependency apply rule with     ignore_on_error and non-existing parent #7538

  - Introduce ternary operator (x ? y : z) #7442

  - LegacyTimePeriod: support specifying seconds #7439

  - Add support for Lambda Closures (() use(x) => x and ()     use(x) => ( return x )) #7417

  + ITL

  - Add notemp parameter to oracle health #7748

  - Add extended checks options to snmp-interface command     template #7602

  - Add file age check for Windows command definition #7540

  + Docs

  - Development: Update debugging instructions #7867

  - Add new API clients #7859

  - Clarify CRITICAL vs. UNKNOWN #7665

  - Explicitly explain how to disable freshness checks #7664

  - Update installation for RHEL/CentOS 8 and SLES 15 #7640

  - Add Powershell example to validate the certificate #7603

  + Misc

  - Don't send event::Heartbeat to unauthenticated peers     #7747

  - OpenTsdbWriter: Add custom tag support #7357

  - Bugfixes

  + Core

  - Fix JSON-RPC crashes #7532 #7737

  - Fix zone definitions in zones #7546

  - Fix deadlock during start on OpenBSD #7739

  - Consider PENDING not a problem #7685

  - Fix zombie processes after reload #7606

  - Don't wait for checks to finish during reload #7894

  + Cluster

  - Fix segfault during heartbeat timeout with clients not     yet signed #7970

  - Make the config update process mutually exclusive     (Prevents file system race conditions) #7936

  - Fix check_timeout not being forwarded to agent command     endpoints #7861

  - Config sync: Use a more friendly message when configs     are equal and don't need a reload #7811

  - Fix open connections when agent waits for CA approval     #7686

  - Consider a JsonRpcConnection alive on a single byte of     TLS payload, not only on a whole message #7836

  - Send JsonRpcConnection heartbeat every 20s instead of     10s #8102

  - Use JsonRpcConnection heartbeat only to update     connection liveness (m_Seen) #8142

  - Fix TLS context not being updated on signed certificate     messages on agents #7654

  + API

  - Close connections w/o successful TLS handshakes after     10s #7809

  - Handle permission exceptions soon enough, returning 404     #7528

  + SELinux

  - Fix safe-reload #7858

  - Allow direct SMTP notifications #7749

  + Windows

  - Terminate check processes with UNKNOWN state on timeout     #7788

  - Ensure that log replay files are properly renamed #7767

  + Metrics

  - Graphite/OpenTSDB: Ensure that reconnect failure is     detected #7765

  - Always send 0 as value for thresholds #7696

  + Scripts

  - Fix notification scripts to stay compatible with Dash     #7706

  - Fix bash line continuation in mail-host-notification.sh     #7701

  - Fix notification scripts string comparison #7647

  - Service and host mail-notifications: Add line-breaks to     very long output #6822

  - Set correct UTF-8 email subject header (RFC1342) #6369

  + Misc

  - DSL: Fix segfault due to passing null as custom function     to Array#(sort,map,reduce,filter,any,all)() #8053

  - CLI: pki save-cert: allow to specify --key and --cert     for backwards compatibility #7995

  - Catch exception when trusted cert is not readable during     node setup on agent/satellite #7838

  - CheckCommand ssl: Fix wrong parameter -N #7741

  - Code quality fixes

  - Small documentation fixes

  - Update to 2.11.5 Version 2.11.5 fixes file system race     conditions in the config update process occurring in     large HA environments and improves the cluster     connection liveness mechanisms.

  - Bugfixes

  + Make the config update process mutually exclusive     (Prevents file system race conditions) #8093

  + Consider a JsonRpcConnection alive on a single byte of     TLS payload, not only on a whole message #8094

  + Send JsonRpcConnection heartbeat every 20s instead of     10s #8103

  + Use JsonRpcConnection heartbeat only to update     connection liveness (m_Seen) #8097

  - Update to 2.11.4 Version 2.11.4 fixes a crash during a     heartbeat timeout with clients not yet signed. It also     resolves an issue with endpoints not reconnecting after     a reload/deploy, which caused a lot of UNKNOWN states.

  - Bugfixes

  + Cluster

  - Fix segfault during heartbeat timeout with clients not     yet signed #7997

  - Fix endpoints not reconnecting after reload (UNKNOWN     hosts/services after reload) #8043

  + Setup

  - Fix exception on trusted cert not readable during node     setup #8044

  - prepare-dirs: Only set permissions during directory     creation #8046

  + DSL

  - Fix segfault on missing compare function in Array     functions (sort, map, reduce, filter, any, all) #8054

  - Update to 2.11.3

  - Bugfixes

  - Cluster Fix JSON-RPC crashes (#7532) in large     environments: #7846 #7848 #7849

  - Set minimum require boost version to 1.66

  - Fix boo#1159869 Permission error when use the icinga cli     wizard. 

  - BuildRequire pkgconfig(libsystemd) instead of     systemd-devel: Aloow OBS to shortcut through the -mini     flavors.

  - Update to 2.11.2 This release fixes a problem where the     newly introduced config sync 'check-change-then-reload'     functionality could cause endless reload loops with     agents. The most visible parts are failing command     endpoint checks with 'not connected' UNKNOWN state. Only     applies to HA enabled zones with 2 masters and/or 2     satellites.

  - Bugfixes

  - Cluster Config Sync

  - Config sync checksum change detection may not work     within high load HA clusters #7565

  - Update to 2.11.1 This release fixes a hidden long     lasting bug unveiled with 2.11 and distributed setups.
    If you are affected by agents/satellites not accepting     configuration anymore, or not reloading, please upgrade.

  - Bugfixes

  - Cluster Config Sync

  - Never accept authoritative config markers from other     instances #7552

  - This affects setups where agent/satellites are newer     than the config master, e.g. satellite/agent=2.11.0,     master=2.10.

  - Configuration

  - Error message for command_endpoint should hint that zone     is not set #7514

  - Global variable 'ActiveStageOverride' has been set     implicitly via 'ActiveStageOverride ... #7521

  - Documentation

  - Docs: Add upgrading/troubleshooting details for repos,     config sync, agents #7526

  - Explain repository requirements for 2.11:
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-     icinga-2/#added-boost-166

  - command_endpoint objects require a zone:
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-     icinga-2/#agent-hosts-with-command-endpoint-require-a-zo     ne

  - Zones declared in zones.d are not loaded anymore:
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-     icinga-2/#config-sync-zones-in-zones

  - Update to 2.11.0

  - Core

  - Rewrite Network Stack (cluster, REST API) based on Boost     Asio, Beast, Coroutines

  - Technical concept: #7041

  - Requires package updates: Boost >1.66 (either from     packages.icinga.com, EPEL or backports). SLES11 & Ubuntu     14 are EOL.

  - Require TLS 1.2 and harden default cipher list

  - Improved Reload Handling (umbrella process, now 3     processes at runtime)

  - Support running Icinga 2 in (Docker) containers natively     in foreground

  - Quality: Use Modern JSON for C++ library instead of YAJL     (dead project)

  - Quality: Improve handling of invalid UTF8 strings

  - API

  - Fix crashes on Linux, Unix and Windows from Nessus scans     #7431

  - Locks and stalled waits are fixed with the core rewrite     in #7071

  - schedule-downtime action supports all_services for host     downtimes

  - Improve storage handling for runtime created objects in     the _api package

  - Cluster

  - HA aware features & improvements for failover handling     #2941 #7062

  - Improve cluster config sync with staging #6716

  - Fixed that same downtime/comment objects would be synced     again in a cluster loop #7198

  - Checks & Notifications

  - Ensure that notifications during a restart are sent

  - Immediately notify about a problem after leaving a     downtime and still NOT-OK

  - Improve reload handling and wait for features/metrics

  - Store notification command results and sync them in HA     enabled zones #6722

  - DSL/Configuration

  - Add getenv() function

  - Fix TimePeriod range support over midnight

  - concurrent_checks in the Checker feature has no effect,     use the global MaxConcurrentChecks constant instead

  - CLI

  - Permissions: node wizard/setup, feature, api setup now     run in the Icinga user context, not root

  - ca list shows pending CSRs by default, ca remove/restore     allow to delete signing requests

  - ITL

  - Add new commands and missing attributes

  - Windows

  - Update bundled NSClient++ to 0.5.2.39

  - Refine agent setup wizard & update requirements to .NET     4.6

  - Documentation

  - Service Monitoring: How to create plugins by example,     check commands and a modern version of the supported     plugin API with best practices

  - Features: Better structure on metrics, and supported     features

  - Technical Concepts: TLS Network IO, Cluster Feature HA,     Cluster Config Sync

  - Development: Rewritten for better debugging and     development experience for contributors including a     style guide. Add nightly build setup instructions.

  - Packaging: INSTALL.md was integrated into the     Development chapter, being available at     https://icinga.com/docs too.

  - Update to 2.10.6

  - Bugfixes

  - Fix el7 not loading ECDHE cipher suites #7247

  - update to 2.10.5

  - Core

  - Fix crashes with logrotate signals #6737 (thanks Elias     Ohm)

  - API

  - Fix crashes and problems with permission filters from     recent Namespace introduction #6785 (thanks Elias Ohm)     #6874 (backported from 2.11)

  - Reduce log spam with locked connections (real fix is the     network stack rewrite in 2.11) #6877

  - Cluster

  - Fix problems with replay log rotation and storage #6932     (thanks Peter Eckel)

  - IDO DB

  - Fix that reload shutdown deactivates hosts and     hostgroups (introduced in 2.9) #7157

  - Documentation

  - Improve the REST API chapter: Unix timestamp handling,     filters, unify POST requests with filters in the body

  - Better layout for the features chapter, specifically     metrics and events

  - Split object types into monitoring, runtime, features

  - Add technical concepts for cluster messages

The remote SUSE Linux SLES12 / SLES_SAP12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3725-1 advisory.

  - An issue was discovered in Icinga2 before v2.12.0-rc1. The prepare-dirs script (run as part of the icinga2     systemd service) executes chmod 2750 /run/icinga2/cmd. /run/icinga2 is under control of an unprivileged     user by default. If /run/icinga2/cmd is a symlink, then it will by followed and arbitrary files can be     changed to mode 2750 by the unprivileged icinga2 user. (CVE-2020-14004)

  - Icinga 2 v2.8.0 through v2.11.7 and v2.12.2 has an issue where revoked certificates due for renewal will     automatically be renewed, ignoring the CRL. This issue is fixed in Icinga 2 v2.11.8 and v2.12.3.
    (CVE-2020-29663)

  - Icinga is a monitoring system which checks the availability of network resources, notifies users of     outages, and generates performance data for reporting. In versions 2.5.0 through 2.13.0,     ElasticsearchWriter, GelfWriter, InfluxdbWriter and Influxdb2Writer do not verify the server's certificate     despite a certificate authority being specified. Icinga 2 instances which connect to any of the mentioned     time series databases (TSDBs) using TLS over a spoofable infrastructure should immediately upgrade to     version 2.13.1, 2.12.6, or 2.11.11 to patch the issue. Such instances should also change the credentials     (if any) used by the TSDB writer feature to authenticate against the TSDB. There are no workarounds aside     from upgrading. (CVE-2021-37698)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 v2.12.0-rc1 之前的 Icinga2 中發現一個問題。prepare-dirs 指令碼 (作為 icinga2 systemd 服務的一部分執行) 執行 chmod 2750 /run/icinga2/cmd。根據預設/run/icinga2 是在無權限使用者的控制之下。如果 /run/icinga2/cmd 是符號連結無權限的 icinga2 使用者會跟隨任意檔案進入模式 2750。 (CVE-2020-14004)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Icinga2 before v2.12.0-rc1. The prepare-dirs script (run as part of the icinga2     systemd service) executes chmod 2750 /run/icinga2/cmd. /run/icinga2 is under control of an unprivileged     user by default. If /run/icinga2/cmd is a symlink, then it will by followed and arbitrary files can be     changed to mode 2750 by the unprivileged icinga2 user. (CVE-2020-14004)

Note that Nessus relies on the presence of the package as reported by the vendor.

このicinga2の更新では、次の問題が修正されます：

  - バージョン2.12.0以降、次のセキュリティ問題が修正されたという情報：prepare-dirsスクリプトにより、icingaユーザーコンテキストでシンボリックリンク攻撃が可能です。boo#1172171（CVE-2020-14004）

2.12.1への更新：

  - バグ修正

  +コア

  - 構成更新中のクラッシュを修正します #8348 #8345

  - ダウンタイムを削除する際のクラッシュを修正します #8228

  - logrotateによってデーモンがkillされないようにします #8170

  - シャットダウン中のハングアップを修正します #8211

  - Icinga DBのデッドロックを修正します（#8168）。

  - リロード中にゾンビプロセスをクリーンアップします #8376

  - チェックレイテンシーを低減します #8276

  + IDO

  - 不要なIDO更新を防止します #8327 #8320

  - IDO MySQLトランザクションを早期にコミットします #8349

  - IDOプログラムステータスを必ず挿入します #8330

  - IDOキュー統計のロギングを改善します #8271 #8328 #8379

  + その他：

  - API接続が適切に閉じられるようにします #8293

  - 不要な通知を防ぎます #8299

  - コマンド引数のnull値をスキップしません #8174

  - Windows .exeバージョンを修正します #8234

  - 構成の更新が成功した後、Icingaチェック警告をリセットします #8189

2.12.0への更新：

  - 重大な変更

  - 次を優先してWindowsプラグインを廃止します：

  - PowerShellプラグイン #8071

  - Livestatusを廃止します #8051

  - すでに承認済みのチェック可能アイテムの承認を拒否します #7695

  - 構成レクサー：heredocsのEOFでエラーを出します。例：
    (((abc<EOF> #7541

  - 機能強化

  +コア

  - 新しいデータベースバックエンド：Icinga DBを実装します #7571

  - 以前にその期間により抑制された通知を再送信します #7816

  + API

  - ホスト/サービス：Acknowledgement_last_change属性とnext_update属性を追加します #7881 #7534

  - POSTクエリのエラーメッセージを改善します #7681

  - /v1/actions/remove-comment：ユーザーが自分で指定できるようにします #7646

  - /v1/actions/remove-downtime：ユーザーが自分で指定できるようにします #7645

  - /v1/config/stages：「activate」パラメーターを追加します #7535

  + CLI

  - TLS証明書のトラブルシューティングを改善するためにpki verifyコマンドを追加します #7843

  - --version #7833の「Build」セクションにOpenSSLバージョンを追加します

  -「エージェント/サテライトのノードセットアップ」でエクスペリエンスを向上させます #7835

  + DSL

  - get_template()およびget_templates()を追加します #7632

  - MacroProcessor: : ResolveArguments()：null引数値をスキップします #7567

  - ignore_on_errorと存在しない親を持つ依存関係適用ルールによるクラッシュを修正します #7538

  - 3項演算子（x ? y : z）を導入します #7442

  - LegacyTimePeriod：秒の指定をサポートします #7439

  - ラムダクロージャーのサポートを追加します（() use(x) => x and () use(x) => ( return x )） #7417

  + ITL

  - notempパラメーターをOracleヘルスに追加します #7748

  - snmp-interfaceコマンドテンプレートに拡張チェックオプションを追加します #7602

  - Windowsコマンド定義のファイル経過時間チェックを追加します #7540

  + ドキュメント

  - 開発：デバッグ指示を更新します #7867

  - 新しいAPIクライアントを追加します #7859

  - CRITICALとUNKNOWNを明確にします #7665

  - フレッシュネスチェックを無効にする方法を明確に説明します #7664

  - RHEL/CentOS 8およびSLES 15のインストールを更新します #7640

  - 証明書を検証するためにPowershellの例を追加します #7603

  + その他：

  - event: : Heartbeatを認証されていないピアに送信しません #7747

  - OpenTsdbWriter：カスタムタグのサポートを追加します #7357

  - バグ修正

  +コア

  - JSON-RPCクラッシュを修正します #7532 #7737

  - ゾーンのゾーン定義を修正します #7546

  - OpenBSDの起動中のデッドロックを修正します #7739

  - PENDINGは問題ではないと考えます #7685

  - リロード後のゾンビプロセスを修正します #7606

  - リロード中にチェックが終了するのを待ちません #7894

  + クラスター

  - まだ署名されていないクライアントによるハートビートタイムアウト中のセグメンテーション違反を修正します #7970

  - 構成の更新プロセスを相互に排他的にします（ファイルシステムの競合状態を防止します）#7936

  - check_timeoutがエージェントコマンドエンドポイントに転送されない問題を修正します #7861

  - Config sync：構成が等しく、リロードが不要な場合、より分かりやすいメッセージを使用します #7811

  - エージェントがCAの承認を待つときに開いている接続を修正します #7686

  - メッセージ全体だけでなく、TLSペイロードの1バイトでJsonRpcConnectionが有効であることを考慮します #7836

  - JsonRpcConnectionハートビートを10秒ではなく20秒ごとに送信します #8102

  - JsonRpcConnectionハートビートを使用して、接続の活性を更新します（m_Seen） #8142

  - TLSコンテキストがエージェントの署名付き証明書メッセージで更新されない問題を修正します #7654

  + API

  - 10秒後にTLSハンドシェイクが成功しない場合、接続を閉じます #7809

  - 権限の例外をすぐに処理し、404を返します #7528

  + SELinux

  - safe-reloadを修正します #7858

  - ダイレクトSMTP通知を許可します #7749

  + Windows

  - タイムアウト時にUNKNOWN状態のチェックプロセスを終了します #7788

  - ログ再生ファイルの名前が適切に変更されるようにします #7767

  + メトリクス

  - Graphite/OpenTSDB：再接続の失敗が検出されるようにします #7765

  - しきい値の値として常に0を送信します #7696

  + スクリプト

  - Dashとの互換性を保つために通知スクリプトを修正します #7706

  - mail-host-notification.shのbash行の継続を修正します #7701

  - 通知スクリプトの文字列比較を修正します #7647

  - サービスおよびホストのメール通知：非常に長い出力に改行を追加します #6822

  - 適切なUTF-8電子メール件名ヘッダーを設定します（RFC1342）#6369

  + その他：

  - DSL：Array#(sort,map,reduce,filter,any,all)()にカスタム関数としてnullを渡すことによるセグメンテーション違反を修正します #8053

  - CLI：pki save-cert：後方互換性のために--keyおよび--certを指定できるようにします #7995

  - エージェント/サテライトのノードのセットアップ中に信頼できる証明書を読み取れない場合に例外をキャッチします #7838

  - CheckCommand ssl：間違ったパラメーター-Nを修正します #7741

  - コード品質の修正

  - ドキュメントでの小規模な修正

  - 2.11.5への更新。バージョン2.11.5では、大規模なHA環境で発生する構成更新プロセスにおけるファイルシステムの競合状態を修正し、クラスター接続の活性メカニズムを改善します。

  - バグ修正

  + 構成の更新プロセスを相互に排他的にします（ファイルシステムの競合状態を防止します）#8093

  + メッセージ全体だけでなく、TLSペイロードの1バイトでJsonRpcConnectionが有効であることを考慮します #8094

  + JsonRpcConnectionハートビートを10秒ではなく20秒ごとに送信します #8103

  + JsonRpcConnectionハートビートを使用して、接続の活性を更新します（m_Seen） #8097

  - 2.11.4への更新。バージョン2.11.4では、まだ署名されていないクライアントによるハートビートタイムアウト中のクラッシュを修正します。また、リロード/展開後にエンドポイントが再接続しない問題を解決します。この問題は、多くのUNKNOWN状態を引き起こしていました。

  - バグ修正

  + クラスター

  - まだ署名されていないクライアントによるハートビートタイムアウト中のセグメンテーション違反を修正します #7997

  - リロード後に再接続しないエンドポイントを修正します（リロード後のUNKNOWNホスト/サービス）#8043

  + セットアップ

  - ノードのセットアップ中に読み取れない信頼できる証明書の例外を修正します #8044

  - prepare-dirs：ディレクトリの作成時にのみ権限を設定します #8046

  + DSL

  - 配列関数（sort、map、reduce、filter、any、all）に欠落している比較関数のセグメンテーション違反を修正します #8054

  - 2.11.3への更新

  - バグ修正

  - クラスター。大規模な環境でのJSON-RPCクラッシュ（#7532）を修正します： #7846 #7848 #7849

  - 最小必要ブーストバージョンを1.66に設定 します

  - icinga cliウィザードを使用する際のboo#1159869権限エラーを修正します。 

  - systemd-develの代わりにBuildRequire pkgconfig(libsystemd)：OBSが-miniフレーバーを介してショートカットできるようにします。

  - 2.11.2への更新。このリリースでは、新しく導入された構成同期「check-change-then-reload」機能がエージェントで無限リロードループを引き起こす可能性がある問題を修正しました。最も目立つのは、「接続されていない」UNKNOWN状態でコマンドエンドポイントチェックに失敗していることです。2マスターおよび/または2サテライトのあるHA有効ゾーンにのみ適用されます。

  - バグ修正

  - クラスター構成同期

  - 構成同期チェックサムの変更の検出は、高負荷HAクラスター内では機能しない可能性があります#7565

  - 2.11.1への更新。このリリースでは、2.11および分散セットアップで明らかになった隠れた長期的なバグが修正されます。
    エージェント/サテライトが構成を受け入れない、またはリロードしないことによる影響を受ける場合は、アップグレードしてください。

  - バグ修正

  - クラスター構成同期

  - 他のインスタンスからの権限のある構成マーカーを決して受け入れません #7552

  - これは、エージェント/サテライトが構成マスターよりも新しいセットアップに影響します（例：サテライト/エージェント=2.11.0、マスター=2.10） 。

  - 構成

  - command_endpointのエラーメッセージで、ゾーンが設定されていないことが示唆されます #7514

  - グローバル変数「ActiveStageOverride」は「ActiveStageOverride ...」を介して暗黙的に設定されました #7521

  - ドキュメント

  - Docs：リポジトリ、構成同期、エージェントのアップグレード/トラブルシューティングの詳細を追加します #7526

  - 2.11のリポジトリ要件を説明します：
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-icinga-2/#added-boost-166

  - command_endpointオブジェクトには、次のゾーンが必要です：
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-icinga-2/#agent-hosts-with-command-endpoint-require-a-zone

  - zones.dで宣言されたゾーンがロードされなくなります：
    https://icinga.com/docs/icinga2/latest/doc/16-upgrading-icinga-2/#config-sync-zones-in-zones

  - 2.11.0への更新

  - コア

  - Boost Asio、Beast、Coroutinesに基づいてネットワークスタック（クラスター、REST API）を書き換えます

  - 技術コンセプト： #7041

  - パッケージの更新が必要です：Boost 1.66以上（packages.icinga.com、EPELまたはバックポートから）。SLES11とUbuntu 14はEOLです。

  - TLS 1.2を要求し、デフォルトの暗号リストを強化します

  - リロード処理を改善しました（umbrellaプロセス、現在はランタイムで3プロセス）

  -（Docker）コンテナでIcinga 2をフォアグラウンドでネイティブに実行することをサポートします

  - 品質：YAJL（デッドプロジェクト）の代わりにC++ライブラリ用のModern JSONを使用します

  - 品質：無効なUTF8文字列の処理を改善します

  - API

  - NessusスキャンからのLinux、UnixおよびWindowsでのクラッシュを修正します #7431

  - ロックおよびストールした待機は、#7071のコアの書き換えで修正されます。 

  - schedule-downtimeアクションが、ホストのダウンタイムに対してall_servicesをサポートします

  - _apiパッケージのランタイム作成オブジェクトのストレージ処理を改善します

  - クラスター

  - フェイルオーバー処理のHA認識機能と改善 #2941 #7062

  - ステージングによりクラスター構成の同期を改善します #6716

  - 同じダウンタイム/コメントオブジェクトがクラスターループで再び同期される問題を修正しました #7198

  - チェックと通知

  - 再起動中に通知が送信されるようにします

  - ダウンタイム終了後、問題について直ちに通知してもNOT-OKです

  - リロード処理を改善し、機能/メトリクスを待機します

  - 通知コマンドの結果を保存し、HA有効ゾーンで同期します #6722

  - DSL/構成

  - getenv()関数を追加します

  - 深夜のTimePeriod範囲のサポートを修正します

  - チェッカー機能のconcurrent_checksは効果がないため、代わりにグローバルMaxConcurrentChecks定数を使用します

  - CLI

  - 権限：ノードウィザード/セットアップ、機能、apiセットアップが、rootではなくIcingaユーザーコンテキストで実行されるようになりました

  - デフォルトでは、caリストに保留中のCSRが表示されます。ca remove/restoreにより、署名リクエストの削除が可能になります

  - ITL

  - 新しいコマンドと欠落している属性を追加します

  - Windows

  - バンドルされているNSClient++を0.5.2.39に更新します

  - エージェントセットアップウィザードを改善し、要件を.NET 4.6に更新します

  - ドキュメント

  - サービス監視：例、チェックコマンドおよびサポートされているプラグインAPIの最新バージョンとベストプラクティスによってプラグインを作成する方法

  - 特徴：メトリクスの構造およびサポートされている機能の改善

  - 技術コンセプト：TLSネットワークIO、クラスター機能HA、クラスター構成同期

  - 開発：スタイルガイドを含む寄稿者のデバッグと開発のエクスペリエンスを向上させるために書き直されました。ナイトリービルドのセットアップ手順を追加します。

  - パッケージ：INSTALL.mdは開発の章に統合されました。https://icinga.com/docsから入手することもできます。

  - 2.10.6への更新

  - バグ修正

  - el7がECDHE暗号パッケージをロードしない問題を修正します #7247

  - 2.10.5への更新

  - コア

  - logrotateシグナルによるクラッシュを修正します #6737（Elias Ohm氏に感謝します）

  - API

  - 最近の名前空間の導入によるクラッシュと権限フィルターに関する問題を修正します #6785（Elias Ohm氏に感謝します）#6874（2.11からバックポート）

  - ロックされた接続によるログスパムを削減します（実際の修正は、2.11でのネットワークスタックの書き換えです）#6877

  - クラスター

  - 再生ログのローテーションと保存に関する問題を修正します #6932（Peter Eckel氏に感謝します）

  - IDO DB

  - リロードシャットダウンがホストとホストグループを非アクティブ化する問題を修正します（2.9で導入）#7157

  - ドキュメント

  - REST APIの章を改善します：Unixタイムスタンプ処理、フィルター、POSTリクエストを本文のフィルターと統一

  - 機能の章、特にメトリクスとイベントのレイアウトを改善します

  - オブジェクトタイプをモニタリング、ランタイム、機能に分割します

  - クラスターメッセージの技術的コンセプトを追加します

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - v2.12.0-rc1 より前の Icinga2 に問題が発見されました。prepare-dirs スクリプト (icinga2 systemd サービスの一部として実行) は、chmod 2750 /run/icinga2/cmd を実行します。/run/icinga2 は、デフォルトで権限のないユーザーの制御下にあります。/run/icinga2/cmd がシンボリックリンクである場合、それに続き、権限のない icinga2 ユーザーによって任意のファイルがモード 2750 に変更される可能性があります。(CVE-2020-14004)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3725-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - v2.12.0-rc1 より前の Icinga2 に問題が発見されました。prepare-dirs スクリプト (icinga2 systemd サービスの一部として実行) は、chmod 2750 /run/icinga2/cmd を実行します。/run/icinga2 は、デフォルトで権限のないユーザーの制御下にあります。/run/icinga2/cmd がシンボリックリンクである場合、それに続き、権限のない icinga2 ユーザーによって任意のファイルがモード 2750 に変更される可能性があります。(CVE-2020-14004)

  - Icinga 2 v2.8.0 〜 v2.11.7 および v2.12.2 には、CRL を無視して、更新期限が切れた証明書が自動的に更新される問題があります。この問題は、Icinga 2 v2.11.8 および v2.12.3 で修正されました。
    (CVE-2020-29663)

  - Icinga は、ネットワークリソースの可用性をチェックし、ユーザーに停止を通知し、レポート用のパフォーマンスデータを生成する監視システムです。バージョン 2.5.0から 2.13.0で、ElasticsearchWriter、GelfWriter、InfluxdbWriter および Influxdb2Writer は、認証局が指定されているにもかかわらず、サーバーの証明書を検証しません。偽装可能なインフラでTLSを使用して前述の時系列データベース (TSDB ) に接続する Icinga 2 インスタンスは、バージョン 2.13.1、 2.12.6、または 2.11.11にすぐにアップグレードして、問題にパッチを適用する必要があります。そのようなインスタンスは、TSDB ライタ機能が TSDB に対して認証するために使用する認証情報 (もしあれば ) も変更する必要があります。アップグレード以外に回避策はありません。(CVE-2021-37698)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 发现在 v2.12.0-rc1 之前的 Icinga2 中存在问题。prepare-dirs 脚本作为 icinga2 systemd 服务的一部分运行执行 chmod 2750 /run/icinga2/cmd。 /run/icinga2 默认情况下处于非特权用户的控制之下。如果 /run/icinga2/cmd 为符号链接那么非特权的 icinga2 用户可跟随任意文件至模式 2750。 (CVE-2020-14004)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142522	openSUSE Security Update : icinga2 (openSUSE-2020-1820)	Nessus	SuSE Local Security Checks	2020/11/6	2024/2/9	high
166535	SUSE SLES12 Security Update : icinga2 (SUSE-SU-2022:3725-1)	Nessus	SuSE Local Security Checks	2022/10/26	2023/7/14	critical
258860	Linux Distros 未修補的弱點：CVE-2020-14004	Nessus	Misc.	2025/8/30	2025/8/30	high
258860	Linux Distros Unpatched Vulnerability : CVE-2020-14004	Nessus	Misc.	2025/8/30	2025/8/30	high
142522	openSUSEセキュリティ更新プログラム：icinga2（openSUSE-2020-1820）	Nessus	SuSE Local Security Checks	2020/11/6	2024/2/9	high
258860	Linux Distros のパッチ未適用の脆弱性: CVE-2020-14004	Nessus	Misc.	2025/8/30	2025/8/30	high
166535	SUSE SLES12 セキュリティ更新: icinga2 (SUSE-SU-2022:3725-1)	Nessus	SuSE Local Security Checks	2022/10/26	2023/7/14	critical
258860	Linux Distros 未修补的漏洞：CVE-2020-14004	Nessus	Misc.	2025/8/30	2025/8/30	high

検出

プラグインの検索

high

critical

high

high

high

high

critical

high