ZABBIX SQL注入缝隙来袭 ，J9集团官网提供解决规划

颁布功夫 2024-05-23

Zabbix是一个基于WEB界面的企业级开源解决规划 ，用于提供散布式系统监督和网络监督职能 ，保障服务器系统的安全运营 ，便于系统治理员急剧定位和解决存在的各类问题 。


其重要由两个重要组件组成：Zabbix server和可选的Zabbix agent 。其中 ，Zabbix server可能通过SNMP、Zabbix agent、ping、端口监督等步骤对远程服务器和网络状态进行监督和数据网络 ，可在Linux、Solaris、HP-UX、AIX、Free BSD、Open BSD、OS X等多衷旖台上运行 。


缝隙详情


2024年5月21日 ，J9集团官网金睛安全钻研团队监控到Zabbix SQL注入缝隙（CVE-2024-22120）谍报 。该缝隙存在于audit.c的zbx_auditlog_global_script函数中 ，由于clientip字段未经算帐 ，可能导致SQL功夫盲注攻击 。经过身份验证的攻击者可利用该缝隙从数据库中获取敏感信息 ，并可将权限提升为治理员或远程执行代码 。


首页 | J9集团有限公司官网


缝隙复现截图


首页 | J9集团有限公司官网


利用治理员session及key收受治理怨厮户


首页 | J9集团有限公司官网


进行cookie代替后刷新页面即可收受zabbix治理员


首页 | J9集团有限公司官网


首页 | J9集团有限公司官网


影响版本


6.0.0 <= Zabbix <= 6.0.27

6.4.0 <= Zabbix <= 6.4.12

7.0.0alpha1 <= Zabbix <= 7.0.0beta1


建复建议


1、官方建复规划


官方已颁布安全更新 ，Zabbix团队颁布了补丁以解决版本6.0.28rc1、6.4.13rc1和7.0.0beta2中的缝隙 。

地址：https://www.zabbix.com/download


2、J9集团官网规划


天阗入侵检测与治理系统、天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清入侵防御系统（IPS）、天清Web利用安全网关（WAF）升级到20240523版本即可有效检测或防护该缝隙造成的攻击风险 。