ZABBIX SQL注入缝隙来袭，OG东方厅提供解决规划

颁布功夫 2024-05-23

Zabbix是一个基于WEB界面的企业级开源解决规划，用于提供散布式系统监督和网络监督职能，保障服务器系统的安全运营，便于系统治理员急剧定位和解决存在的各类问题。。


其重要由两个重要组件组成：Zabbix server和可选的Zabbix agent。。其中，Zabbix server可能通过SNMP、、Zabbix agent、、ping、、端口监督等步骤对远程服务器和网络状态进行监督和数据网络，可在Linux、、Solaris、、HP-UX、、AIX、、Free BSD、、Open BSD、、OS X等多种平台上运行。。


缝隙详情


2024年5月21日，OG东方厅金睛安全钻研团队监控到Zabbix SQL注入缝隙（CVE-2024-22120）谍报。。该缝隙存在于audit.c的zbx_auditlog_global_script函数中，由于clientip字段未经算帐，可能导致SQL功夫盲注攻击。。经过身份验证的攻击者可利用该缝隙从数据库中获取敏感信息，并可将权限提升为治理员或远程执行代码。。


OG东方厅·(中国大陆)


缝隙复现截图


OG东方厅·(中国大陆)


利用治理员session及key收受治理员账户


OG东方厅·(中国大陆)


进行cookie代替后刷新页面即可收受zabbix治理员


OG东方厅·(中国大陆)


OG东方厅·(中国大陆)


影响版本


6.0.0 <= Zabbix <= 6.0.27

6.4.0 <= Zabbix <= 6.4.12

7.0.0alpha1 <= Zabbix <= 7.0.0beta1


修复建议


1、、官方修复规划


官方已颁布安全更新，Zabbix团队颁布了补丁以解决版本6.0.28rc1、、6.4.13rc1和7.0.0beta2中的缝隙。。

地址：https://www.zabbix.com/download


2、、OG东方厅规划


天阗入侵检测与治理系统、、天阗超融合检测探针（CSP）、、天阗威胁分析一体机（TAR）、、天清入侵防御系统（IPS）、、天清Web利用安全网关（WAF）升级到20240523版本即可有效检测或防护该缝隙造成的攻击风险。。