Podatności Zabbix

W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.

W Zabbix przed wersją 2.2.14 oraz 3.0 przed wersją 3.0.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr toggle_ids w pliku latest.php.

Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.

Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.

Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.

Uwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji validate.api.exists, co prowadzi do potencjalnej odmowy usługi.

Akcja frontendu validate.api.exists może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia jawnych wartości makr użytkownika, co prowadzi do potencjalnej utraty poufności.

Nieuwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji popup.testtriggerexpr, co prowadzi do potencjalnej odmowy usługi.

Pole OAuth 'Client secret' w mediach e-mail nie może być odczytane po zapisaniu, ale Super Admin może je ujawnić, ustawiając złośliwy 'Token endpoint'. Wprowadzono zmiany resetujące client secret przy zmianie token endpoint.

Mechanizm blokady logowania w API i frontendzie Zabbix ma wadę, przez którą kilka nieudanych prób logowania wysłanych jednocześnie nie jest poprawnie liczonych do licznika blokad, co może pozwolić na więcej prób odgadnięcia hasła niż zamierzono.

Użytkownik Zabbix z niskimi uprawnieniami i dostępem do API może wykorzystać podatność blind SQL injection w pliku include/classes/api/CApiService.php, wykonując dowolne zapytania SQL przez parametr sortfield. Mimo że wyniki nie są zwracane bezpośrednio, atakujący może wyeksfiltrować dane z bazy technikami czasowymi, co może prowadzić do ujawnienia identyfikatorów sesji i przejęcia konta administratora.

Walidacja danych wejściowych dla skryptów akcji hosta i zdarzeń w Zabbix używa wyrażeń regularnych (ustawianych przez administratora), ale działa w trybie wieloliniowym. Jeśli w walidacji użyto kotwic ^ i $, wstrzyknięty znak nowej linii pozwala uwierzytelnionym użytkownikom ominąć sprawdzenie i wstrzyknąć komendy powłoki.

Z powodu optymalizacji wydajności Zabbix Server/Proxy ponownie używa kontekstów JavaScript (Duktape) w elementach skryptowych, przetwarzaniu JavaScript i Webhookach. Może to prowadzić do utraty poufności, gdzie zwykły (nie-super) administrator Zabbix może wyciec dane dla hostów, do których nie ma dostępu. Wydano poprawkę czyniącą wbudowane obiekty JavaScript tylko do odczytu, ale zaleca się unikanie globalnych zmiennych JavaScript.