Zabbix未授权会见误差清静通告

宣布时间 2019-10-11

误差编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


Zabbix <= 4.4


误差概述


Zabbix是拉脱维亚ZabbixSIA公司的一套开源的监控系统。该系统可监视种种网络参数，并提供通知机制让系统管理员快速定位、解决保存的种种问题。


Zabbix保存一个未授权会见误差，通过该误差，攻击者可以在未经授权的情形下会见Zabbix服务器上的数据，导致敏感信息泄露。


误差验证


EXP：https://www.exploit-db.com/exploits/47474。


修复建议


现在厂商暂未宣布修复步伐解决此清静问题，建议使用此软件的用户随时关注厂商主页

或参考网址以获取解决步伐：

https://support.zabbix.com/projects/ZBX/issues/ZBX-16748?filter=allissues


缓解步伐：

对Zabbix服务器开启会见控制，只允许白名单内的用户会见Zabbix服务器。


参考链接


https://www.exploit-db.com/exploits/47474