远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS 主机上安装的多个程序包受到 USN-6751-1 公告中提及的多个漏洞影响。

  - 经过身份验证的用户可以为发现页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。(CVE-2022-35229)

  - 经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。(CVE-2022-35230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3909 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：zabbix 版本：1:5.0.44+dfsg-1+deb11u1 CVE ID：CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian 错误：1014992 1014994 1026847 1053877 1055175 1078553

    在网络监控解决方案 zabbix 中发现数个安全漏洞，可能造成 XSS、代码执行、信息泄露、远程代码执行、假冒或会话劫持等影响。

    由于上传的版本为新的上游维护版本，因此该版本包含一些次要的新功能和行为变更。有关更多信息，请参阅下方内容。

    CVE-2022-23132

        在从 RPM 安装 Zabbix 期间，使用 DAC_OVERRIDE SELinux 功能访问 [/var/run/zabbix] 文件夹中的 PID 文件。在这种情况下，Zabbix Proxy 或 Server 进程可绕过文件系统级别的文件读取、写入和执行权限检查

    CVE-2022-23133

        经过身份验证的用户可通过具有 XSS 负载的配置创建主机组，以供其他用户使用。当经过身份验证的恶意攻击者发起存储型 XSS，并且其他用户在创建新主机期间尝试搜索群组时，将触发 XSS 负载，攻击者可以窃取会话 cookie 并执行会话劫持，以冒充用户或接管他们的帐户。

    CVE-2022-24349

        经过身份验证的用户可通过具有 XSS 负载的配置创建主机组，以供其他用户使用。当经过身份验证的恶意攻击者发起存储型 XSS，并且其他用户在创建新主机期间尝试搜索群组时，将触发 XSS 负载，攻击者可以窃取会话 cookie 并执行会话劫持，以冒充用户或接管他们的帐户。

    CVE-2022-24917

        经过身份验证的用户可以为服务的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-24918

        经过身份验证的用户可以为项目的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-24919

        经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-35229

        经过身份验证的用户可以为发现页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。

    CVE-2022-35230

        经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。

    CVE-2022-43515

        Zabbix Frontend 提供一项功能，允许管理员维护安装并确保只有特定 IP 地址可以访问该安装。这样，在维护 Zabbix 前端期间，任何用户都无法访问该前端，并可以防止泄露可能的敏感数据。攻击者可以绕过此保护并使用未在定义的范围中列出的 IP 地址访问实例。

    CVE-2023-29449

        JavaScript 预处理、Webhook 和全局脚本可造成 CPU、内存和磁盘 I/O 使用不受控制。
        预处理/Webhook/全局脚本配置和测试仅适用于管理角色（管理员和超级管理员）。通常，应将管理权限授予给需要对系统有更多控制权才能执行任务的用户。由于并非所有用户都拥有此级别的访问权限，因此存在的安全风险有限。

    CVE-2023-29450

        攻击者可使用 JavaScript 预处理来获得对 Zabbix 服务器或 Zabbix 代理上的文件系统的访问权限（代表用户 zabbix 的只读访问权限），从而可能导致对敏感数据进行未经授权的访问。

    CVE-2023-29454

        在“用户”部分的“媒体”选项卡的“发送至表单”字段中发现存储型或持久性跨站脚本 (XSS) 漏洞。利用“发送到”字段中包含的恶意代码创建新媒体后，新媒体将在编辑相同媒体时执行。

    CVE-2023-29455

        发现反射型 XSS 攻击（也称为非持久性攻击），其中攻击者可以将恶意代码作为 GET 请求传递到 graph.php，然后系统将会保存恶意代码并在打开当前图形页面时执行。

    CVE-2023-29456

        URL 验证方案接收用户的输入，然后对其进行解析以识别其各种组件。验证方案可确保所有 URL 组件都符合 Internet 标准。

    CVE-2023-29457

        发现反射型 XSS 攻击（也称为非持久性攻击），其中 XSS 会话 cookie 可能已泄露，导致攻击者可以冒充有效用户并滥用其私人帐户。

    CVE-2023-29458

        Duktape 是第三方可嵌入的 JavaScript 引擎，以可移植性和占用空间小为突出优势。在 valstack 中添加过多值时，JavaScript 会崩溃。之所以发生此问题，是因为我们使用的第三方解决方案 Duktape 2.6 中的错误所致。

    CVE-2023-32721

        如果在 URL 字段中的 URL 前设置空格，则在 Zabbix Web 应用程序的映射元素中会发现存储的 XSS。

    CVE-2023-32722

        通过 zbx_json_open 解析 JSON 文件时，zabbix/src/libs/zbxjson 模块易受缓冲区溢出影响。

    CVE-2023-32724

        内存指针在 Ducktape 对象的属性中。这会导致产生与直接内存访问和操纵有关的多个漏洞。

    CVE-2023-32726

        可能因读取 DNS 响应引起的缓冲区越界读取。

    CVE-2023-32727

        有权配置 Zabbix 项目的攻击者可以使用函数 icmpping()，在其中包含其他恶意命令，从而在当前 Zabbix 服务器上执行任意代码。

    CVE-2024-22114

        在任何主机上都无权限的用户可以通过全局视图仪表盘中的“系统信息”小组件，访问和查看主机计数及其他统计数据。

    CVE-2024-22116

        权限有限的管理员可利用“监控主机”部分中的脚本执行功能。由于缺少默认转义脚本参数，用户因而能够通过 Ping 脚本执行任意代码，从而破坏基础架构。

    CVE-2024-22119

        图表项目选择表单中的存储型 XSS

    CVE-2024-22122

        Zabbix 允许配置 SMS 通知。由于未在 Web 和 Zabbix 服务器端验证“数字”字段，Zabbix 服务器上发生 AT 命令注入。攻击者可提供特别构建的电话号码来运行 SMS 测试，并在调制解调器上执行其他 AT 命令。

    CVE-2024-22123

        设置 SMS 媒体允许设置 GSM 调制解调器文件。之后，此文件被用作 Linux 设备。但由于一切内容即可充当 Linux 的文件，因此可以设置其他文件（例如日志文件），并且 zabbix_server 将尝试作为调制解调器与之通信。因此，AT 命令将破坏日志文件，并将小部分日志文件内容泄漏给 UI。

    CVE-2024-36460

        前端审计日志允许查看以明文显示、未受保护的明文密码。

    CVE-2024-36461

        直接访问 JS 引擎内的内存指针以进行修改。
        利用此漏洞，对单项配置拥有访问权限的用户（受限角色）可以通过远程代码执行，破坏监控解决方案的整个基础架构。

    对于 Debian 11 bullseye，已在版本 1:5.0.44+dfsg-1+deb11u1 中修复这些问题。

    建议您升级 zabbix 程序包。

    如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/zabbix

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

    如上文所述，此版本是新的上游维护版本。
    上游的升级说明列出了以下更改：
    （与 Debian bullseye 无关的更改已忽略。）

    5.0.11 的升级说明

        VMware 事件收集器 - VMware 事件收集器的行为已变更，以修复内存过载问题。

    5.0.31 的升级说明

        改进了历史记录同步器的性能

        引入了新的读写锁定，改进了历史记录同步器的性能。在访问配置缓存时，这可通过使用共享读取锁定来减少历史记录同步器、捕获器和代理轮询器之间的锁定。只有配置同步器执行配置缓存重新加载时，才能对新锁进行写入锁定。

    5.0.32 的升级说明

        引入了以下预处理过程中 JavaScript 对象的限制：

        对于每次脚本执行，最多可以利用 Log() 方法记录 8 MB 的消息。
        对于每次脚本执行，最多可对 10 个 CurlHttpRequest 对象进行初始化。使用 AddHeader() 方法，最多可将总长度为 128 KB 的标题字段添加到单个 CurlHttpRequest 对象中（包括特殊字符和标头名称）。

    附件：
    signature.asc 描述：PGP 签名

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS/20.04 LTS 主機上安裝的多個套件受到 USN-6751-1 公告中提及的多個弱點影響。

  - 經驗證的使用者可以針對發現頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。此承載只能使用已知的受害者的 CSRF 權杖值執行，而此值會定期變更並且難以預測。(CVE-2022-35229)

  - 經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。此承載只能使用已知的受害者的 CSRF 權杖值執行，而此值會定期變更並且難以預測。(CVE-2022-35230)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3909 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：zabbix 版本： 1:5.0.44+dfsg-1+deb11u1 CVE ID： CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian 錯誤： 1014992 1014994 1026847 1053877 1055175 1078553

    在網路監控解決方案 zabbix 中發現數個安全性弱點，可能會造成其他影響，進而允許 XSS、程式碼執行、資訊洩漏、遠端程式碼執行、假冒或工作階段劫持。

    由於上傳的版本是新的上游維護版本，因此這個版本有一些次要的新功能和行為改變。如需詳細資訊，請參閱下面內容。

    CVE-2022-23132

        在從 RPM 安裝 Zabbix 期間，可以使用 DAC_OVERRIDE SELinux 功能存取 [/var/run/zabbix] 資料夾中的 PID 檔案。在此情況下，Zabbix Proxy 或伺服器處理程序可繞過檔案系統層級的檔案讀取、寫入及執行權限檢查。

    CVE-2022-23133

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24349

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24917

        經驗證的使用者可以針對服務頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24918

        經驗證的使用者可以針對項目頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24919

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-35229

        經驗證的使用者可以針對發現頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-35230

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-43515

        Zabbix Frontend 提供的功能讓管理員可以維護安裝程式，以及確保只有特定 IP 位址可存取該安裝程式。如此一來，任何使用者都將無法在維護 Zabbix Frontend 期間進行存取，並且這樣可以防止潛在的敏感資料遭到洩漏。攻擊者可繞過此保護機制，並使用未列於規定範圍內的 IP 位址存取執行個體。

    CVE-2023-29449

        JavaScript 預處理、webhook 和全域指令碼可造成不受控制的 CPU、記憶體和磁碟 I/O 使用率。
        Preprocessing/webhook/global 指令碼組態和測試僅適用於系統管理角色 (Admin 和 Superadmin)。通常應將管理權限授予執行任務時需要對於系統擁有更多控制的使用者。安全性風險有限，原因是並非所有使用者都有此層級的存取權。

    CVE-2023-29450

        攻擊者可利用 JavaScript 預先處理功能來取得 Zabbix Server 或 Zabbix Proxy 上檔案系統的存取權 (以使用者 zabbix 的唯讀存取權)，這可能導致未經授權存取敏感資料。

    CVE-2023-29454

        在「媒體」索引標籤內「使用者」區段的「傳送至表單」欄位中發現一個已儲存或持續跨網站指令碼 (XSS) 弱點。建立新媒體時，若將惡意程式碼包含在欄位「傳送至」中，則其會在編輯相同媒體時執行。

    CVE-2023-29455

        發現存在反射型 XSS 攻擊 (也稱為非持續式攻擊)，攻擊者可將惡意程式碼作為 GET 要求傳遞至 graph.php，系統會將其儲存並且在目前圖形頁面開啟時執行。

    CVE-2023-29456

        網址驗證配置會接收使用者的輸入，然後進行剖析以識別其各種元件。驗證配置可以確保所有網址元件都符合網際網路標準。

    CVE-2023-29457

        發現存在反射型 XSS 攻擊 (又稱為非持續式攻擊)，使得 XSS 工作階段中的 Cookie 遭到洩漏，不懷好意者能夠模擬有效使用者並濫用其私人帳戶。

    CVE-2023-29458

        Duktape 是第三方可內嵌 JavaScript 引擎，重點在於可攜性以及精巧的佔用空間。在 valstack 中新增太多值時，JavaScript 將會損毀。此問題是因為 Duktape 2.6 (我們使用的第三方解決方案) 中的錯誤所致。

    CVE-2023-32721

        如果在 URL 前使用空格設定 URL 欄位，則在 Zabbix Web 應用程式的 Maps 元素中存在一個儲存型 XSS。

    CVE-2023-32722

        透過 zbx_json_open 剖析 JSON 檔案時，zabbix/src/libs/zbxjson 模組容易發生緩衝區溢位。

    CVE-2023-32724

        記憶體指標位於 Ducktape 物件的內容中。這樣會導致多個與直接記憶體存取和操控相關的弱點。

    CVE-2023-32726

        讀取 DNS 回應時可能發生緩衝區過度讀取。

    CVE-2023-32727

        具有設定 Zabbix 項目權限的攻擊者可使用內含其他惡意命令的 icmpping() 函式，在目前的 Zabbix 伺服器上執行任意程式碼。

    CVE-2024-22114

        對於任何主機皆沒有權限的使用者可透過全域檢視儀表板中的「系統資訊小工具」存取和檢視主機計數及其他統計資料。

    CVE-2024-22116

        具有受限權限的系統管理員可惡意利用「監控主機」區段中的指令碼執行功能。指令碼參數缺少預設逸出，可讓此使用者透過 Ping 指令碼執行任意程式碼，進而侵入基礎結構。

    CVE-2024-22119

        圖形項目選取表單中儲存的 XSS

    CVE-2024-22122

        Zabbix 允許設定 SMS 通知。Zabbix 伺服器上發生 AT 命令注入，因為 Web 和 Zabbix 伺服器端都沒有數字欄位驗證。攻擊者可以提供特製的電話號碼執行 SMS 測試，並在數據機上執行其他 AT 命令。

    CVE-2024-22123

        設定 SMS 媒體允許設定 GSM 數據機檔案。稍後此檔案會作為 Linux 裝置使用。但由於 Linux 的所有項目都是檔案，因此可以設定例如記錄檔等其他檔案，而 zabbix_server 會嘗試以數據機與其通訊。因此，AT 命令會損毀記錄檔，同時記錄檔內容的小部分將會洩漏至 UI。

    CVE-2024-36460

        前端稽核記錄允許檢視未受保護的純文字密碼，其中密碼會以純文字顯示。

    CVE-2024-36461

        直接存取 JS 引擎內的記憶體指標以進行修改。
        此弱點允許具有單一項目組態存取權的使用者 (受限角色) 透過遠端程式碼執行危害監控解決方案的整個基礎結構。

    針對 Debian 11 bullseye，這些問題已在 1:5.0.44+dfsg-1+deb11u1 版本中修正。

    建議您升級 zabbix 套件。

    如需有關 zabbix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/zabbix

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    如上所述，此版本是新的上游維護版本。
    上游的升級備註列出了下列變更：
    (已省略與 Debian Bullseye 無關的變更。)

    5.0.11 的升級備註

        VMware 事件收集器 - VMware 事件收集器的行為已變更，修正了記憶體過載問題。

    5.0.31 的升級備註

        改善歷程記錄同步器的效能

        歷程記錄同步器的效能已透過引入新的讀寫鎖定有所改善。這會在存取組態快取時，使用共用讀取鎖定來減少歷程記錄同步器、設陷器和代理伺服器輪詢器之間的鎖定。新的鎖定只能由執行組態快取重新載入的組態同步器進行寫入鎖定。

    5.0.32 的升級備註

        在預處理中引入了 JavaScript 物件的下列限制：

        可使用 Log() 方法記錄的所有訊息總大小已限制為每次執行指令碼 8 MB。
        多個 CurlHttpRequest 物件的初始化限制為每次指令碼執行 10 個。可使用 AddHeader() 方法新增至單一 CurlHttpRequest 物件的標頭欄位總長度限制為 128 KB (包括特殊字元和標頭名稱)。

    附件：
    signature.asc 描述：PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Ubuntu 14.04LTS / 16.04LTS / 18.04LTS / 20.04LTS ホストには、USN-6751-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 認証されたユーザーは、検出ページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。(CVE-2022-35229)

  - 認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。(CVE-2022-35230)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3909 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : zabbix バージョン : 1:5.0.44+dfsg-1+deb11u1 CVE ID : CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian バグ : 1014992 1014994 1026847 1053877 1055175 1078553

    ネットワーク監視ソリューションの zabbix に複数のセキュリティの脆弱性が発見されました。特に、XSS、コード実行、情報漏洩、リモートコード実行、なりすまし、セッションハイジャックが発生する可能性があります。

    アップロードされたバージョンは新しい upstrea メンテナンスバージョンであるため、このバージョンではいくつかのマイナーな新機能と動作の変更があります。詳細については、以下を参照してください。

    CVE-2022-23132

        RPM から Zabbix をインストールする間、[/var/run/zabbix] フォルダーの PID ファイルにアクセスするために DAC_OVERRIDE SELinux 機能が使用されています。この場合、Zabbix Proxy または Server プロセスは、ファイルシステムレベルでファイルの読み取り、書き込み、および実行の権限チェックをバイパスする可能性があります。

    CVE-2022-23133

         認証されたユーザーは、XSS ペイロードを使用して構成からホストグループを作成できます。これは他のユーザーが利用できます。XSS が認証された悪意のある攻撃者によって保存されており、新しいホストの作成中に他のユーザーがグループを検索しようとすると、XSS ペイロードが起動し、攻撃者はセッション Cookie を盗み、セッションハイジャックを実行してユーザーを偽装したり、アカウントを乗ったりする可能性があります。

    CVE-2022-24349

        認証されたユーザーは、XSS ペイロードを使用して構成からホストグループを作成できます。これは他のユーザーが利用できます。XSS が認証された悪意のある攻撃者によって保存されており、新しいホストの作成中に他のユーザーがグループを検索しようとすると、XSS ペイロードが起動し、攻撃者はセッション Cookie を盗み、セッションハイジャックを実行してユーザーを偽装したり、アカウントを乗ったりする可能性があります。

    CVE-2022-24917

        認証されたユーザーは、サービスのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-24918

        認証されたユーザーは、アイテムのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-24919

        認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-35229

        認証されたユーザーは、検出ページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。

    CVE-2022-35230

        認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。

    CVE-2022-43515

        Zabbix Frontend は、管理者がインストールを維持し、特定の IP アドレスのみがそれにアクセスできるようにする機能を提供します。このようにして、いかなるユーザーも Zabbix Frontend にメンテナンス中はアクセスできず、機密データの漏洩が防止されます。攻撃者がこの保護をバイパスし、定義された範囲にリストされていない IP アドレスを使用してインスタンスにアクセスする可能性があります。

    CVE-2023-29449

        JavaScript の前処理、webhook、グローバルスクリプトにより、CPU、メモリ、ディスク I/O の使用率が制御されなくなる可能性があります。
        前処理/webhook/global スクリプトの構成とテストは、管理者ロール (管理者およびスーパー管理者) のみが利用できます。通常、管理者権限は、システムのより詳細な制御が求められるタスクを実行する必要があるユーザーに付与すべきです。すべてのユーザーがこのレベルのアクセス権を持っているわけではないため、セキュリティリスクは限定的です。

    CVE-2023-29450

        攻撃者が JavaScript の前処理を利用して、Zabbix Server または Zabbix Proxy 上のファイルシステムへのアクセス (ユーザー zabbix に代わる読み取り専用アクセス) を取得することが可能です。これにより、機密データへの不正なアクセスが引き起こされる可能性があります。

    CVE-2023-29454

        [フォームに送信] フィールドの [メディア] タブにある [ユーザー] セクションに、蓄積型または持続型クロスサイトスクリプティング (XSS) の脆弱性が見つかりました。[送信先] フィールドに悪意のあるコードが含まれた状態で新しいメディアが作成されると、同じメディアの編集時にそのコードが実行されます。

    CVE-2023-29455

        折り返し型 XSS 攻撃 (非持続攻撃とも呼ばれる) が見つかりました。これにより、攻撃者は悪意のあるコードを GET リクエストとして graph.php に渡すことができます。システムはそれを保存し、現在のグラフページが開かれるときに実行します。

    CVE-2023-29456

        URL 検証スキームは、ユーザーから受け取った入力を解析してさまざまなコンポーネントを特定します。検証スキームにより、すべての URL コンポーネントがインターネット標準に準拠していることを確認できます。

    CVE-2023-29457

        折り返し型 XSS 攻撃 (非持続攻撃とも呼ばれる) が見つかり、XSS セッションクッキーが漏洩する可能性があります。これにより、攻撃者が正当なユーザーになりすまし、そのプライベートアカウントを悪用する可能性があります。

    CVE-2023-29458

        Duktape はサードパーティの埋め込み可能な JavaScript エンジンであり、ポータビリティとコンパクトなフットプリントに重点を置いています。valstack で追加する値が多すぎると、JavaScript がクラッシュします。この問題は、弊社が使用しているサードパーティのソリューションである Duktape 2.6 のバグが原因で発生します。

    CVE-2023-32721

        URL フィールドの URL の前にスペースが挿入されている場合、蓄積型 XSS が Maps 要素の Zabbix ウェブアプリケーションで見つかっています。

    CVE-2023-32722

        zabbix/src/libs/zbxjson モジュールは、zbx_json_open を介して JSON ファイルを解析するときのバッファオーバーフローに対して脆弱です。

    CVE-2023-32724

        メモリポインターが Ducktape オブジェクトのプロパティにあります。これにより、直接メモリアクセスと操作に関連する複数の脆弱性が発生します。

    CVE-2023-32726

        DNS 応答の読み取りによるバッファオーバーリードの可能性。

    CVE-2023-32727

        Zabbix アイテムを構成する権限を持つ攻撃者が、icmpping() 関数をその中に悪意のあるコマンドを追加して使用することで、現在の Zabbix サーバー上で任意のコードを実行できます。

    CVE-2024-22114

        いずれのホストにもアクセス許可を持たないユーザーは、Global View Dashboard のシステム情報ウィジェットからホスト数やその他の統計にアクセスして表示できます。

    CVE-2024-22116

        アクセス許可が制限された管理者が、[Monitoring Hosts] セクション内のスクリプト実行機能を悪用する可能性があります。スクリプトパラメーターに対するデフォルトのエスケープがないため、このユーザーは Ping スクリプトを介して任意のコードを実行し、インフラを危険にさらすことができます。

    CVE-2024-22119

        グラフアイテム選択フォームにおける蓄積型 XSS

    CVE-2024-22122

        Zabbix では、SMS 通知を設定できます。Web でも Zabbix サーバー側でも Number フィールドの検証が行われないため、AT コマンドインジェクションが Zabbix サーバーで発生します。攻撃者は、特別に細工された電話番号を提供する SMS のテストを実行し、モデムで追加の AT コマンドを実行できます。

    CVE-2024-22123

        SMS メディアの設定により、GSM モデムファイルの設定が可能になります。その後、このファイルは Linux デバイスとして使用されます。しかし、すべてが Linux 用のファイルであるため、ログファイルなどの別のファイルを設定することが可能で、zabbix_server はモデムとして通信しようとします。その結果、ログファイルが AT コマンドで破損され、ログファイルのコンテンツの一部が UI に漏洩します。

    CVE-2024-36460

        フロントエンド監査ログにより、パスワードが平文で表示される、保護されていない平文パスワードを表示できます。

    CVE-2024-36461

        変更のための JS エンジン内のメモリポインターへの直接アクセス。
        この脆弱性により、1 つのアイテム構成にアクセスできるユーザー (制限されたロール) があるため、リモートコードの実行によって、監視ソリューションのインフラ全体が侵害される可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 1:5.0.44+dfsg-1+deb11u1 で修正されました。

    お使いの zabbix パッケージをアップグレードすることを推奨します。

    zabbix の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/zabbix

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

    前述のとおり、このバージョンは新しい Upstream のメンテナンスのリリースです。
    Upstream のアップグレードノートには、以下の変更が記載されています。
    (Debian Bullseye に関連しない変更は省略されています。)

    5.0.11 のアップグレードの注意

        VMware イベントコレクター - VMware イベントコレクターの動作が変更され、メモリオーバーロードの問題が修正されました。

    5.0.31 のアップグレードの注意

        History syncers のパフォーマンスを改善しました

        History syncers のパフォーマンスは、新しい読み書きロックを導入することで改善されました。これにより、構成キャッシュへのアクセス中に共有読み取りロックを使用することで、履歴 syncer、trappers、proxy poller 間のロックが減少します。新しいロックは、構成キャッシュのリロードを実行する構成 syncer によってのみ書き込みロックできます。

    5.0.32 のアップグレードの注意

        前処理の JavaScript オブジェクトに対して、次の制限が導入されました。

        Log() メソッドで記録できるすべてのメッセージの合計サイズは、スクリプトの実行ごとに 8 MB に制限されています。
        複数の CurlHttpRequest オブジェクトの初期化は、スクリプト実行ごとに 10 に制限されています。AddHeader() メソッドで単一の CurlHttpRequest オブジェクトに追加できるヘッダーフィールドの合計長は、128 キロバイトに制限されました (特殊文字およびヘッダー名を含む)。

    添付ファイル:
    signature.asc 説明: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-6751-1 advisory.

    It was discovered that Zabbix incorrectly handled input data in the discovery and graphs pages. A remote     authenticated attacker could possibly use this issue to perform reflected cross-site scripting (XSS)     attacks. (CVE-2022-35229, CVE-2022-35230)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3909 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3909-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                         Tobias Frost     October 03, 2024                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : zabbix     Version        : 1:5.0.44+dfsg-1+deb11u1     CVE ID         : CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917                      CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230                      CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454                      CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458                      CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726                      CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119                      CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461     Debian Bug     : 1014992 1014994 1026847 1053877 1055175 1078553

    Several security vulnerabilities have been discovered in zabbix, a network     monitoring solution, potentially among other effects allowing XSS, Code     Execution, information disclosure, remote code execution, impersonation or     session hijacking.

    As the version uploaded is a new upstrea maintainance version, there a a     few minor new features and behavioural changes with this version. Please     see below for further information.

    CVE-2022-23132

        During Zabbix installation from RPM, DAC_OVERRIDE SELinux capability is         in use to access PID files in [/var/run/zabbix] folder. In this case,         Zabbix Proxy or Server processes can bypass file read, write and execute         permissions check on the file system level

    CVE-2022-23133

        An authenticated user can create a hosts group from the configuration         with XSS payload, which will be available for other users. When XSS is         stored by an authenticated malicious actor and other users try to search         for groups during new host creation, the XSS payload will fire and the         actor can steal session cookies and perform session hijacking to         impersonate users or take over their accounts.

    CVE-2022-24349

        An authenticated user can create a hosts group from the configuration         with XSS payload, which will be available for other users. When XSS is         stored by an authenticated malicious actor and other users try to search         for groups during new host creation, the XSS payload will fire and the         actor can steal session cookies and perform session hijacking to         impersonate users or take over their accounts.

    CVE-2022-24917

        An authenticated user can create a link with reflected Javascript code         inside it for services page and send it to other users. The payload can         be executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-24918

        An authenticated user can create a link with reflected Javascript code         inside it for items page and send it to other users. The payload can be         executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-24919

        An authenticated user can create a link with reflected Javascript code         inside it for graphs page and send it to other users. The payload can         be executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-35229

        An authenticated user can create a link with reflected Javascript code         inside it for the discovery page and send it to other users. The payload         can be executed only with a known CSRF token value of the victim, which         is changed periodically and is difficult to predict.

    CVE-2022-35230

        An authenticated user can create a link with reflected Javascript code         inside it for the graphs page and send it to other users. The payload         can be executed only with a known CSRF token value of the victim, which         is changed periodically and is difficult to predict.

    CVE-2022-43515

        Zabbix Frontend provides a feature that allows admins to maintain the         installation and ensure that only certain IP addresses can access it. In         this way, any user will not be able to access the Zabbix Frontend while         it is being maintained and possible sensitive data will be prevented         from being disclosed.  An attacker can bypass this protection and access         the instance using IP address not listed in the defined range.

    CVE-2023-29449

        JavaScript preprocessing, webhooks and global scripts can cause         uncontrolled CPU, memory, and disk I/O utilization.
        Preprocessing/webhook/global script configuration and testing are only         available to Administrative roles (Admin and Superadmin). Administrative         privileges should be typically granted to users who need to perform         tasks that require more control over the system. The security risk is         limited because not all users have this level of access.

    CVE-2023-29450

        JavaScript pre-processing can be used by the attacker to gain access to         the file system (read-only access on behalf of user zabbix) on the         Zabbix Server or Zabbix Proxy, potentially leading to unauthorized         access to sensitive data.

    CVE-2023-29454

        A Stored or persistent cross-site scripting (XSS) vulnerability was         found on Users section in Media tab in Send to form field.  When         new media is created with malicious code included into field Send to         then it will execute when editing the same media.

    CVE-2023-29455

        A Reflected XSS attacks, also known as non-persistent attacks, was found         where an attacker can pass malicious code as GET request to graph.php         and system will save it and will execute when current graph page is         opened.

    CVE-2023-29456

        URL validation scheme receives input from a user and then parses it to         identify its various components. The validation scheme can ensure that         all URL components comply with internet standards.

    CVE-2023-29457

        A Reflected XSS attacks, also known as non-persistent attacks, was found         where XSS session cookies could be revealed, enabling a perpetrator to         impersonate valid users and abuse their private accounts.

    CVE-2023-29458

        Duktape is an 3rd-party embeddable JavaScript engine, with a focus on         portability and compact footprint. When adding too many values in         valstack JavaScript will crash. This issue occurs due to bug in Duktape         2.6 which is an 3rd-party solution that we use.

    CVE-2023-32721

        A stored XSS has been found in the Zabbix web application in the Maps         element if a URL field is set with spaces before URL.

    CVE-2023-32722

        The zabbix/src/libs/zbxjson module is vulnerable to a buffer overflow         when parsing JSON files via zbx_json_open.

    CVE-2023-32724

        Memory pointer is in a property of the Ducktape object. This leads to         multiple vulnerabilities related to direct memory access and         manipulation.

    CVE-2023-32726

        Possible buffer overread from reading DNS responses.

    CVE-2023-32727

        An attacker who has the privilege to configure Zabbix items can use         function icmpping() with additional malicious command inside it to         execute arbitrary code on the current Zabbix server.

    CVE-2024-22114

        A user with no permission to any of the Hosts can access and view host         count & other statistics through System Information Widget in Global         View Dashboard.

    CVE-2024-22116

        An administrator with restricted permissions can exploit the script         execution functionality within the Monitoring Hosts section. The lack of         default escaping for script parameters enabled this user ability to         execute arbitrary code via the Ping script, thereby compromising         infrastructure.

    CVE-2024-22119

        Stored XSS in graph items select form

    CVE-2024-22122

        Zabbix allows to configure SMS notifications. AT command injection         occurs on Zabbix Server because there is no validation of Number         field on Web nor on Zabbix server side. Attacker can run test of SMS         providing specially crafted phone number and execute additional AT         commands on the modem.

    CVE-2024-22123

        Setting SMS media allows to set GSM modem file. Later this file is used         as Linux device. But due everything is a file for Linux, it is possible         to set another file, e.g. log file and zabbix_server will try to         communicate with it as modem. As a result, log file will be broken with         AT commands and small part for log file content will be leaked to UI.

    CVE-2024-36460

        The front-end audit log allows viewing of unprotected plaintext         passwords, where the passwords are displayed in plain text.

    CVE-2024-36461

        Direct access to memory pointers within the JS engine for modification.
        This vulnerability allows users with access to a single item         configuration (limited role) to compromise the whole infrastructure of         the monitoring solution by remote code execution.

    For Debian 11 bullseye, these problems have been fixed in version     1:5.0.44+dfsg-1+deb11u1.

    We recommend that you upgrade your zabbix packages.

    For the detailed security status of zabbix please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/zabbix

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

    As stated above, this version is a new upstream maintaince release.
    Upstream's upgrade notes lists the following changes:
    (Changes not relevant for Debian bullseye have been omitted.)

    Upgrade notes for 5.0.11

        VMware event collector - The behavior of VMware event collector has been         changed to fix a memory overload issue.

    Upgrade notes for 5.0.31

        Improved performance of history syncers

        The performance of history syncers has been improved by introducing a         new read-write lock. This reduces locking between history syncers,         trappers and proxy pollers by using a shared read lock while accessing         the configuration cache. The new lock can be write  locked only by the         configuration syncer performing a configuration cache reload.

    Upgrade notes for 5.0.32

        The following limits for JavaScript objects in preprocessing have been         introduced:

        The total size of all messages that can be logged with the Log() method         has been limited to 8 MB per script execution.
        The initialization of multiple CurlHttpRequest objects has been limited         to 10 per script execution.  The total length of header fields that can         be added to a single CurlHttpRequest object with the AddHeader() method         has been limited to 128 Kbytes (special characters and header names         included).

    Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
193892	Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS/20.04 LTS：Zabbix 漏洞 (USN-6751-1)	Nessus	Ubuntu Local Security Checks	4/25/2024	8/27/2024	medium
208100	Debian dla-3909：zabbix-agent - 安全更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
193892	Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS/20.04 LTS：Zabbix 弱點 (USN-6751-1)	Nessus	Ubuntu Local Security Checks	4/25/2024	8/27/2024	medium
208100	Debian dla-3909：zabbix-agent - 安全性更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
193892	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS : Zabbix の脆弱性 (USN-6751-1)	Nessus	Ubuntu Local Security Checks	4/25/2024	8/27/2024	medium
208100	Debian dla-3909 : zabbix-agent - セキュリティ更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
193892	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Zabbix vulnerabilities (USN-6751-1)	Nessus	Ubuntu Local Security Checks	4/25/2024	8/27/2024	medium
208100	Debian dla-3909 : zabbix-agent - security update	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical

Detections

Analytics

Plugins Search

medium

critical

medium

critical

medium

critical

medium

critical