Podatności Zabbix

W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.

W Zabbix przed wersją 2.2.14 oraz 3.0 przed wersją 3.0.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr toggle_ids w pliku latest.php.

Formularz OAuth dla typu mediów e-mail przekazuje wartość punktu końcowego autoryzacji do window.open() bez walidacji schematu URL, co pozwala na wykonanie adresu javascript: w przeglądarce. Spreparowana konfiguracja typu mediów, dostarczona jako plik importu, uruchamia dowolny JavaScript w kontekście Super Admina, który wyraża zgodę.

Skrypt odbiornika pułapek SNMP w Perlu dostarczany z Zabbix nie neutralizuje prawidłowo separatora rekordów ZBXTRAP w treści pułapki. Osoba mogąca wysyłać pułapki SNMP może wstrzyknąć rekord dotyczący innego hosta, co prowadzi do utraty integralności.

Zabbix Server i Proxy akceptują wiadomość heartbeat aktywnego agenta niezależnie od skonfigurowanego uwierzytelniania PSK lub certyfikatem. Osoba z dostępem do portu trappera Zabbix może zgłosić dowolny host używający aktywnego agenta jako dostępny, co prowadzi do utraty integralności.

Wyszukiwanie hostów w interfejsie frontend pozwala filtrować po polach, które nie są wyświetlane, w tym po zapisanych poświadczeniach IPMI i PSK. Użytkownik z prawem odczytu może odgadnąć poświadczenie i na podstawie wyniku wyszukiwania ustalić, czy odgadnięcie było prawidłowe, co pozwala mu je odkryć.

Silnik przetwarzania wstępnego JavaScript (Duktape) na serwerze Zabbix ma podatność, w której ograniczony administrator może odczytać surowe dane sterty, co potencjalnie prowadzi do wycieku danych z innych uruchomionych preprocesorów niedostępnych dla tego administratora.

Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.

Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.

Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.

Uwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji validate.api.exists, co prowadzi do potencjalnej odmowy usługi.

Akcja frontendu validate.api.exists może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia jawnych wartości makr użytkownika, co prowadzi do potencjalnej utraty poufności.

Nieuwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji popup.testtriggerexpr, co prowadzi do potencjalnej odmowy usługi.

Pole OAuth 'Client secret' w mediach e-mail nie może być odczytane po zapisaniu, ale Super Admin może je ujawnić, ustawiając złośliwy 'Token endpoint'. Wprowadzono zmiany resetujące client secret przy zmianie token endpoint.

Mechanizm blokady logowania w API i frontendzie Zabbix ma wadę, przez którą kilka nieudanych prób logowania wysłanych jednocześnie nie jest poprawnie liczonych do licznika blokad, co może pozwolić na więcej prób odgadnięcia hasła niż zamierzono.

Użytkownik Zabbix z niskimi uprawnieniami i dostępem do API może wykorzystać podatność blind SQL injection w pliku include/classes/api/CApiService.php, wykonując dowolne zapytania SQL przez parametr sortfield. Mimo że wyniki nie są zwracane bezpośrednio, atakujący może wyeksfiltrować dane z bazy technikami czasowymi, co może prowadzić do ujawnienia identyfikatorów sesji i przejęcia konta administratora.

Walidacja danych wejściowych dla skryptów akcji hosta i zdarzeń w Zabbix używa wyrażeń regularnych (ustawianych przez administratora), ale działa w trybie wieloliniowym. Jeśli w walidacji użyto kotwic ^ i $, wstrzyknięty znak nowej linii pozwala uwierzytelnionym użytkownikom ominąć sprawdzenie i wstrzyknąć komendy powłoki.

Z powodu optymalizacji wydajności Zabbix Server/Proxy ponownie używa kontekstów JavaScript (Duktape) w elementach skryptowych, przetwarzaniu JavaScript i Webhookach. Może to prowadzić do utraty poufności, gdzie zwykły (nie-super) administrator Zabbix może wyciec dane dla hostów, do których nie ma dostępu. Wydano poprawkę czyniącą wbudowane obiekty JavaScript tylko do odczytu, ale zaleca się unikanie globalnych zmiennych JavaScript.

Uwierzytelniony użytkownik Zabbix (w tym Guest) może spowodować nieproporcjonalne obciążenie CPU serwera WWW, wysyłając specjalnie spreparowane parametry do /imgstore.php, co może prowadzić do odmowy usługi.

Uwierzytelniony użytkownik Zabbix Super Admin może wykorzystać akcję oauth.authorize do odczytu dowolnych plików z serwera WWW, co prowadzi do potencjalnej utraty poufności.

Podatność w Zabbix pozwala zwykłemu użytkownikowi bez uprawnień do widoku Monitoring -> Problems na wywołanie akcji problem.view.refresh i pobranie listy aktywnych problemów.

Zwykły użytkownik Zabbix może wyszukiwać innych użytkowników w swojej grupie za pomocą API Zabbix, wybierając pola, do których nie ma uprawnień. Pozwala to na wydobycie niektórych wartości pól, do których użytkownik nie powinien mieć dostępu.

Administrator Zabbix może wstrzyknąć dowolny kod SQL podczas automatycznego usuwania hostów, wprowadzając złośliwy SQL w polu 'Visible name'.

Z powodu błędu w API Zabbix metoda hostprototype.get zwraca listę wszystkich prototypów hostów użytkownikom, którzy nie mają przypisanych żadnych grup użytkowników. Może to prowadzić do nieautoryzowanego ujawnienia informacji o prototypach hostów.