ZABBIX SQL注入缝隙来袭，，， ，，8827太阳集团提供解决规划

颁布功夫 2024-05-23

Zabbix是一个基于WEB界面的企业级开源解决规划，，， ，，用于提供散布式系统监督和网络监督职能，，， ，，保障服务器系统的安全运营，，， ，，便于系统治理员急剧定位和解决存在的各类问题。。。 。。。


其重要由两个重要组件组成：Zabbix server和可选的Zabbix agent。。。 。。。其中，，， ，，Zabbix server可能通过SNMP、Zabbix agent、ping、端口监督等步骤对远程服务器和网络状态进行监督和数据网络，，， ，，可在Linux、Solaris、HP-UX、AIX、Free BSD、Open BSD、OS X等多衷旖台上运杏祝。。 。。。


缝隙详情


2024年5月21日，，， ，，8827太阳集团金睛安全钻研团队监控到Zabbix SQL注入缝隙（CVE-2024-22120）谍报。。。 。。。该缝隙存在于audit.c的zbx_auditlog_global_script函数中，，， ，，由于clientip字段未经算帐，，， ，，可能导致SQL功夫盲注攻击。。。 。。。经过身份验证的攻击者可利用该缝隙从数据库中获取敏感信息，，， ，，并可将权限提升为治理员或远程执行代码。。。 。。。


8827太阳集团(Macau)股份有限公司-Official website


缝隙复现截图


8827太阳集团(Macau)股份有限公司-Official website


利用治理员session及key收受治理怨厮户


8827太阳集团(Macau)股份有限公司-Official website


进行cookie代替后刷新页面即可收受zabbix治理员


8827太阳集团(Macau)股份有限公司-Official website


8827太阳集团(Macau)股份有限公司-Official website


影响版本


6.0.0 <= Zabbix <= 6.0.27

6.4.0 <= Zabbix <= 6.4.12

7.0.0alpha1 <= Zabbix <= 7.0.0beta1


建复建议


1、官方建复规划


官方已颁布安全更新，，， ，，Zabbix团队颁布了补丁以解决版本6.0.28rc1、6.4.13rc1和7.0.0beta2中的缝隙。。。 。。。

地址：https://www.zabbix.com/download


2、8827太阳集团规划


天阗入侵检测与治理系统、天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清入侵防御系统（IPS）、天清Web利用安全网关（WAF）升级到20240523版本即可有效检测或防护该缝隙造成的攻击风险。。。 。。。