The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-c89d2ecdea advisory.

    Fix for multiple CVEs

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Fedora 39 ホストには、FEDORA-2024-c89d2ecdea のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    多数の CVE の修正。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Within Zabbix, users have the ability to directly modify memory pointers in the JavaScript engine.
    (CVE-2024-36461)

Note that Nessus relies on the presence of the package as reported by the vendor.

远程 Debian 11 主机上安装的多个程序包受到 dla-3909 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：zabbix 版本：1:5.0.44+dfsg-1+deb11u1 CVE ID：CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian 错误：1014992 1014994 1026847 1053877 1055175 1078553

    在网络监控解决方案 zabbix 中发现数个安全漏洞，可能造成 XSS、代码执行、信息泄露、远程代码执行、假冒或会话劫持等影响。

    由于上传的版本为新的上游维护版本，因此该版本包含一些次要的新功能和行为变更。有关更多信息，请参阅下方内容。

    CVE-2022-23132

        在从 RPM 安装 Zabbix 期间，使用 DAC_OVERRIDE SELinux 功能访问 [/var/run/zabbix] 文件夹中的 PID 文件。在这种情况下，Zabbix Proxy 或 Server 进程可绕过文件系统级别的文件读取、写入和执行权限检查

    CVE-2022-23133

        经过身份验证的用户可通过具有 XSS 负载的配置创建主机组，以供其他用户使用。当经过身份验证的恶意攻击者发起存储型 XSS，并且其他用户在创建新主机期间尝试搜索群组时，将触发 XSS 负载，攻击者可以窃取会话 cookie 并执行会话劫持，以冒充用户或接管他们的帐户。

    CVE-2022-24349

        经过身份验证的用户可通过具有 XSS 负载的配置创建主机组，以供其他用户使用。当经过身份验证的恶意攻击者发起存储型 XSS，并且其他用户在创建新主机期间尝试搜索群组时，将触发 XSS 负载，攻击者可以窃取会话 cookie 并执行会话劫持，以冒充用户或接管他们的帐户。

    CVE-2022-24917

        经过身份验证的用户可以为服务的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-24918

        经过身份验证的用户可以为项目的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-24919

        经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。

    CVE-2022-35229

        经过身份验证的用户可以为发现页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。

    CVE-2022-35230

        经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。

    CVE-2022-43515

        Zabbix Frontend 提供一项功能，允许管理员维护安装并确保只有特定 IP 地址可以访问该安装。这样，在维护 Zabbix 前端期间，任何用户都无法访问该前端，并可以防止泄露可能的敏感数据。攻击者可以绕过此保护并使用未在定义的范围中列出的 IP 地址访问实例。

    CVE-2023-29449

        JavaScript 预处理、Webhook 和全局脚本可造成 CPU、内存和磁盘 I/O 使用不受控制。
        预处理/Webhook/全局脚本配置和测试仅适用于管理角色（管理员和超级管理员）。通常，应将管理权限授予给需要对系统有更多控制权才能执行任务的用户。由于并非所有用户都拥有此级别的访问权限，因此存在的安全风险有限。

    CVE-2023-29450

        攻击者可使用 JavaScript 预处理来获得对 Zabbix 服务器或 Zabbix 代理上的文件系统的访问权限（代表用户 zabbix 的只读访问权限），从而可能导致对敏感数据进行未经授权的访问。

    CVE-2023-29454

        在“用户”部分的“媒体”选项卡的“发送至表单”字段中发现存储型或持久性跨站脚本 (XSS) 漏洞。利用“发送到”字段中包含的恶意代码创建新媒体后，新媒体将在编辑相同媒体时执行。

    CVE-2023-29455

        发现反射型 XSS 攻击（也称为非持久性攻击），其中攻击者可以将恶意代码作为 GET 请求传递到 graph.php，然后系统将会保存恶意代码并在打开当前图形页面时执行。

    CVE-2023-29456

        URL 验证方案接收用户的输入，然后对其进行解析以识别其各种组件。验证方案可确保所有 URL 组件都符合 Internet 标准。

    CVE-2023-29457

        发现反射型 XSS 攻击（也称为非持久性攻击），其中 XSS 会话 cookie 可能已泄露，导致攻击者可以冒充有效用户并滥用其私人帐户。

    CVE-2023-29458

        Duktape 是第三方可嵌入的 JavaScript 引擎，以可移植性和占用空间小为突出优势。在 valstack 中添加过多值时，JavaScript 会崩溃。之所以发生此问题，是因为我们使用的第三方解决方案 Duktape 2.6 中的错误所致。

    CVE-2023-32721

        如果在 URL 字段中的 URL 前设置空格，则在 Zabbix Web 应用程序的映射元素中会发现存储的 XSS。

    CVE-2023-32722

        通过 zbx_json_open 解析 JSON 文件时，zabbix/src/libs/zbxjson 模块易受缓冲区溢出影响。

    CVE-2023-32724

        内存指针在 Ducktape 对象的属性中。这会导致产生与直接内存访问和操纵有关的多个漏洞。

    CVE-2023-32726

        可能因读取 DNS 响应引起的缓冲区越界读取。

    CVE-2023-32727

        有权配置 Zabbix 项目的攻击者可以使用函数 icmpping()，在其中包含其他恶意命令，从而在当前 Zabbix 服务器上执行任意代码。

    CVE-2024-22114

        在任何主机上都无权限的用户可以通过全局视图仪表盘中的“系统信息”小组件，访问和查看主机计数及其他统计数据。

    CVE-2024-22116

        权限有限的管理员可利用“监控主机”部分中的脚本执行功能。由于缺少默认转义脚本参数，用户因而能够通过 Ping 脚本执行任意代码，从而破坏基础架构。

    CVE-2024-22119

        图表项目选择表单中的存储型 XSS

    CVE-2024-22122

        Zabbix 允许配置 SMS 通知。由于未在 Web 和 Zabbix 服务器端验证“数字”字段，Zabbix 服务器上发生 AT 命令注入。攻击者可提供特别构建的电话号码来运行 SMS 测试，并在调制解调器上执行其他 AT 命令。

    CVE-2024-22123

        设置 SMS 媒体允许设置 GSM 调制解调器文件。之后，此文件被用作 Linux 设备。但由于一切内容即可充当 Linux 的文件，因此可以设置其他文件（例如日志文件），并且 zabbix_server 将尝试作为调制解调器与之通信。因此，AT 命令将破坏日志文件，并将小部分日志文件内容泄漏给 UI。

    CVE-2024-36460

        前端审计日志允许查看以明文显示、未受保护的明文密码。

    CVE-2024-36461

        直接访问 JS 引擎内的内存指针以进行修改。
        利用此漏洞，对单项配置拥有访问权限的用户（受限角色）可以通过远程代码执行，破坏监控解决方案的整个基础架构。

    对于 Debian 11 bullseye，已在版本 1:5.0.44+dfsg-1+deb11u1 中修复这些问题。

    建议您升级 zabbix 程序包。

    如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/zabbix

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

    如上文所述，此版本是新的上游维护版本。
    上游的升级说明列出了以下更改：
    （与 Debian bullseye 无关的更改已忽略。）

    5.0.11 的升级说明

        VMware 事件收集器 - VMware 事件收集器的行为已变更，以修复内存过载问题。

    5.0.31 的升级说明

        改进了历史记录同步器的性能

        引入了新的读写锁定，改进了历史记录同步器的性能。在访问配置缓存时，这可通过使用共享读取锁定来减少历史记录同步器、捕获器和代理轮询器之间的锁定。只有配置同步器执行配置缓存重新加载时，才能对新锁进行写入锁定。

    5.0.32 的升级说明

        引入了以下预处理过程中 JavaScript 对象的限制：

        对于每次脚本执行，最多可以利用 Log() 方法记录 8 MB 的消息。
        对于每次脚本执行，最多可对 10 个 CurlHttpRequest 对象进行初始化。使用 AddHeader() 方法，最多可将总长度为 128 KB 的标题字段添加到单个 CurlHttpRequest 对象中（包括特殊字符和标头名称）。

    附件：
    signature.asc 描述：PGP 签名

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3909 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：zabbix 版本： 1:5.0.44+dfsg-1+deb11u1 CVE ID： CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian 錯誤： 1014992 1014994 1026847 1053877 1055175 1078553

    在網路監控解決方案 zabbix 中發現數個安全性弱點，可能會造成其他影響，進而允許 XSS、程式碼執行、資訊洩漏、遠端程式碼執行、假冒或工作階段劫持。

    由於上傳的版本是新的上游維護版本，因此這個版本有一些次要的新功能和行為改變。如需詳細資訊，請參閱下面內容。

    CVE-2022-23132

        在從 RPM 安裝 Zabbix 期間，可以使用 DAC_OVERRIDE SELinux 功能存取 [/var/run/zabbix] 資料夾中的 PID 檔案。在此情況下，Zabbix Proxy 或伺服器處理程序可繞過檔案系統層級的檔案讀取、寫入及執行權限檢查。

    CVE-2022-23133

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24349

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24917

        經驗證的使用者可以針對服務頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24918

        經驗證的使用者可以針對項目頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24919

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-35229

        經驗證的使用者可以針對發現頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-35230

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-43515

        Zabbix Frontend 提供的功能讓管理員可以維護安裝程式，以及確保只有特定 IP 位址可存取該安裝程式。如此一來，任何使用者都將無法在維護 Zabbix Frontend 期間進行存取，並且這樣可以防止潛在的敏感資料遭到洩漏。攻擊者可繞過此保護機制，並使用未列於規定範圍內的 IP 位址存取執行個體。

    CVE-2023-29449

        JavaScript 預處理、webhook 和全域指令碼可造成不受控制的 CPU、記憶體和磁碟 I/O 使用率。
        Preprocessing/webhook/global 指令碼組態和測試僅適用於系統管理角色 (Admin 和 Superadmin)。通常應將管理權限授予執行任務時需要對於系統擁有更多控制的使用者。安全性風險有限，原因是並非所有使用者都有此層級的存取權。

    CVE-2023-29450

        攻擊者可利用 JavaScript 預先處理功能來取得 Zabbix Server 或 Zabbix Proxy 上檔案系統的存取權 (以使用者 zabbix 的唯讀存取權)，這可能導致未經授權存取敏感資料。

    CVE-2023-29454

        在「媒體」索引標籤內「使用者」區段的「傳送至表單」欄位中發現一個已儲存或持續跨網站指令碼 (XSS) 弱點。建立新媒體時，若將惡意程式碼包含在欄位「傳送至」中，則其會在編輯相同媒體時執行。

    CVE-2023-29455

        發現存在反射型 XSS 攻擊 (也稱為非持續式攻擊)，攻擊者可將惡意程式碼作為 GET 要求傳遞至 graph.php，系統會將其儲存並且在目前圖形頁面開啟時執行。

    CVE-2023-29456

        網址驗證配置會接收使用者的輸入，然後進行剖析以識別其各種元件。驗證配置可以確保所有網址元件都符合網際網路標準。

    CVE-2023-29457

        發現存在反射型 XSS 攻擊 (又稱為非持續式攻擊)，使得 XSS 工作階段中的 Cookie 遭到洩漏，不懷好意者能夠模擬有效使用者並濫用其私人帳戶。

    CVE-2023-29458

        Duktape 是第三方可內嵌 JavaScript 引擎，重點在於可攜性以及精巧的佔用空間。在 valstack 中新增太多值時，JavaScript 將會損毀。此問題是因為 Duktape 2.6 (我們使用的第三方解決方案) 中的錯誤所致。

    CVE-2023-32721

        如果在 URL 前使用空格設定 URL 欄位，則在 Zabbix Web 應用程式的 Maps 元素中存在一個儲存型 XSS。

    CVE-2023-32722

        透過 zbx_json_open 剖析 JSON 檔案時，zabbix/src/libs/zbxjson 模組容易發生緩衝區溢位。

    CVE-2023-32724

        記憶體指標位於 Ducktape 物件的內容中。這樣會導致多個與直接記憶體存取和操控相關的弱點。

    CVE-2023-32726

        讀取 DNS 回應時可能發生緩衝區過度讀取。

    CVE-2023-32727

        具有設定 Zabbix 項目權限的攻擊者可使用內含其他惡意命令的 icmpping() 函式，在目前的 Zabbix 伺服器上執行任意程式碼。

    CVE-2024-22114

        對於任何主機皆沒有權限的使用者可透過全域檢視儀表板中的「系統資訊小工具」存取和檢視主機計數及其他統計資料。

    CVE-2024-22116

        具有受限權限的系統管理員可惡意利用「監控主機」區段中的指令碼執行功能。指令碼參數缺少預設逸出，可讓此使用者透過 Ping 指令碼執行任意程式碼，進而侵入基礎結構。

    CVE-2024-22119

        圖形項目選取表單中儲存的 XSS

    CVE-2024-22122

        Zabbix 允許設定 SMS 通知。Zabbix 伺服器上發生 AT 命令注入，因為 Web 和 Zabbix 伺服器端都沒有數字欄位驗證。攻擊者可以提供特製的電話號碼執行 SMS 測試，並在數據機上執行其他 AT 命令。

    CVE-2024-22123

        設定 SMS 媒體允許設定 GSM 數據機檔案。稍後此檔案會作為 Linux 裝置使用。但由於 Linux 的所有項目都是檔案，因此可以設定例如記錄檔等其他檔案，而 zabbix_server 會嘗試以數據機與其通訊。因此，AT 命令會損毀記錄檔，同時記錄檔內容的小部分將會洩漏至 UI。

    CVE-2024-36460

        前端稽核記錄允許檢視未受保護的純文字密碼，其中密碼會以純文字顯示。

    CVE-2024-36461

        直接存取 JS 引擎內的記憶體指標以進行修改。
        此弱點允許具有單一項目組態存取權的使用者 (受限角色) 透過遠端程式碼執行危害監控解決方案的整個基礎結構。

    針對 Debian 11 bullseye，這些問題已在 1:5.0.44+dfsg-1+deb11u1 版本中修正。

    建議您升級 zabbix 套件。

    如需有關 zabbix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/zabbix

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    如上所述，此版本是新的上游維護版本。
    上游的升級備註列出了下列變更：
    (已省略與 Debian Bullseye 無關的變更。)

    5.0.11 的升級備註

        VMware 事件收集器 - VMware 事件收集器的行為已變更，修正了記憶體過載問題。

    5.0.31 的升級備註

        改善歷程記錄同步器的效能

        歷程記錄同步器的效能已透過引入新的讀寫鎖定有所改善。這會在存取組態快取時，使用共用讀取鎖定來減少歷程記錄同步器、設陷器和代理伺服器輪詢器之間的鎖定。新的鎖定只能由執行組態快取重新載入的組態同步器進行寫入鎖定。

    5.0.32 的升級備註

        在預處理中引入了 JavaScript 物件的下列限制：

        可使用 Log() 方法記錄的所有訊息總大小已限制為每次執行指令碼 8 MB。
        多個 CurlHttpRequest 物件的初始化限制為每次指令碼執行 10 個。可使用 AddHeader() 方法新增至單一 CurlHttpRequest 物件的標頭欄位總長度限制為 128 KB (包括特殊字元和標頭名稱)。

    附件：
    signature.asc 描述：PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Zabbix内で、ユーザーはJavaScriptエンジンのメモリポインターを直接変更できます。
    (CVE-2024-36461)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-8382d1b267 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    多数の CVE の修正。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3909 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : zabbix バージョン : 1:5.0.44+dfsg-1+deb11u1 CVE ID : CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian バグ : 1014992 1014994 1026847 1053877 1055175 1078553

    ネットワーク監視ソリューションの zabbix に複数のセキュリティの脆弱性が発見されました。特に、XSS、コード実行、情報漏洩、リモートコード実行、なりすまし、セッションハイジャックが発生する可能性があります。

    アップロードされたバージョンは新しい upstrea メンテナンスバージョンであるため、このバージョンではいくつかのマイナーな新機能と動作の変更があります。詳細については、以下を参照してください。

    CVE-2022-23132

        RPM から Zabbix をインストールする間、[/var/run/zabbix] フォルダーの PID ファイルにアクセスするために DAC_OVERRIDE SELinux 機能が使用されています。この場合、Zabbix Proxy または Server プロセスは、ファイルシステムレベルでファイルの読み取り、書き込み、および実行の権限チェックをバイパスする可能性があります。

    CVE-2022-23133

         認証されたユーザーは、XSS ペイロードを使用して構成からホストグループを作成できます。これは他のユーザーが利用できます。XSS が認証された悪意のある攻撃者によって保存されており、新しいホストの作成中に他のユーザーがグループを検索しようとすると、XSS ペイロードが起動し、攻撃者はセッション Cookie を盗み、セッションハイジャックを実行してユーザーを偽装したり、アカウントを乗ったりする可能性があります。

    CVE-2022-24349

        認証されたユーザーは、XSS ペイロードを使用して構成からホストグループを作成できます。これは他のユーザーが利用できます。XSS が認証された悪意のある攻撃者によって保存されており、新しいホストの作成中に他のユーザーがグループを検索しようとすると、XSS ペイロードが起動し、攻撃者はセッション Cookie を盗み、セッションハイジャックを実行してユーザーを偽装したり、アカウントを乗ったりする可能性があります。

    CVE-2022-24917

        認証されたユーザーは、サービスのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-24918

        認証されたユーザーは、アイテムのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-24919

        認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。

    CVE-2022-35229

        認証されたユーザーは、検出ページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。

    CVE-2022-35230

        認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。

    CVE-2022-43515

        Zabbix Frontend は、管理者がインストールを維持し、特定の IP アドレスのみがそれにアクセスできるようにする機能を提供します。このようにして、いかなるユーザーも Zabbix Frontend にメンテナンス中はアクセスできず、機密データの漏洩が防止されます。攻撃者がこの保護をバイパスし、定義された範囲にリストされていない IP アドレスを使用してインスタンスにアクセスする可能性があります。

    CVE-2023-29449

        JavaScript の前処理、webhook、グローバルスクリプトにより、CPU、メモリ、ディスク I/O の使用率が制御されなくなる可能性があります。
        前処理/webhook/global スクリプトの構成とテストは、管理者ロール (管理者およびスーパー管理者) のみが利用できます。通常、管理者権限は、システムのより詳細な制御が求められるタスクを実行する必要があるユーザーに付与すべきです。すべてのユーザーがこのレベルのアクセス権を持っているわけではないため、セキュリティリスクは限定的です。

    CVE-2023-29450

        攻撃者が JavaScript の前処理を利用して、Zabbix Server または Zabbix Proxy 上のファイルシステムへのアクセス (ユーザー zabbix に代わる読み取り専用アクセス) を取得することが可能です。これにより、機密データへの不正なアクセスが引き起こされる可能性があります。

    CVE-2023-29454

        [フォームに送信] フィールドの [メディア] タブにある [ユーザー] セクションに、蓄積型または持続型クロスサイトスクリプティング (XSS) の脆弱性が見つかりました。[送信先] フィールドに悪意のあるコードが含まれた状態で新しいメディアが作成されると、同じメディアの編集時にそのコードが実行されます。

    CVE-2023-29455

        折り返し型 XSS 攻撃 (非持続攻撃とも呼ばれる) が見つかりました。これにより、攻撃者は悪意のあるコードを GET リクエストとして graph.php に渡すことができます。システムはそれを保存し、現在のグラフページが開かれるときに実行します。

    CVE-2023-29456

        URL 検証スキームは、ユーザーから受け取った入力を解析してさまざまなコンポーネントを特定します。検証スキームにより、すべての URL コンポーネントがインターネット標準に準拠していることを確認できます。

    CVE-2023-29457

        折り返し型 XSS 攻撃 (非持続攻撃とも呼ばれる) が見つかり、XSS セッションクッキーが漏洩する可能性があります。これにより、攻撃者が正当なユーザーになりすまし、そのプライベートアカウントを悪用する可能性があります。

    CVE-2023-29458

        Duktape はサードパーティの埋め込み可能な JavaScript エンジンであり、ポータビリティとコンパクトなフットプリントに重点を置いています。valstack で追加する値が多すぎると、JavaScript がクラッシュします。この問題は、弊社が使用しているサードパーティのソリューションである Duktape 2.6 のバグが原因で発生します。

    CVE-2023-32721

        URL フィールドの URL の前にスペースが挿入されている場合、蓄積型 XSS が Maps 要素の Zabbix ウェブアプリケーションで見つかっています。

    CVE-2023-32722

        zabbix/src/libs/zbxjson モジュールは、zbx_json_open を介して JSON ファイルを解析するときのバッファオーバーフローに対して脆弱です。

    CVE-2023-32724

        メモリポインターが Ducktape オブジェクトのプロパティにあります。これにより、直接メモリアクセスと操作に関連する複数の脆弱性が発生します。

    CVE-2023-32726

        DNS 応答の読み取りによるバッファオーバーリードの可能性。

    CVE-2023-32727

        Zabbix アイテムを構成する権限を持つ攻撃者が、icmpping() 関数をその中に悪意のあるコマンドを追加して使用することで、現在の Zabbix サーバー上で任意のコードを実行できます。

    CVE-2024-22114

        いずれのホストにもアクセス許可を持たないユーザーは、Global View Dashboard のシステム情報ウィジェットからホスト数やその他の統計にアクセスして表示できます。

    CVE-2024-22116

        アクセス許可が制限された管理者が、[Monitoring Hosts] セクション内のスクリプト実行機能を悪用する可能性があります。スクリプトパラメーターに対するデフォルトのエスケープがないため、このユーザーは Ping スクリプトを介して任意のコードを実行し、インフラを危険にさらすことができます。

    CVE-2024-22119

        グラフアイテム選択フォームにおける蓄積型 XSS

    CVE-2024-22122

        Zabbix では、SMS 通知を設定できます。Web でも Zabbix サーバー側でも Number フィールドの検証が行われないため、AT コマンドインジェクションが Zabbix サーバーで発生します。攻撃者は、特別に細工された電話番号を提供する SMS のテストを実行し、モデムで追加の AT コマンドを実行できます。

    CVE-2024-22123

        SMS メディアの設定により、GSM モデムファイルの設定が可能になります。その後、このファイルは Linux デバイスとして使用されます。しかし、すべてが Linux 用のファイルであるため、ログファイルなどの別のファイルを設定することが可能で、zabbix_server はモデムとして通信しようとします。その結果、ログファイルが AT コマンドで破損され、ログファイルのコンテンツの一部が UI に漏洩します。

    CVE-2024-36460

        フロントエンド監査ログにより、パスワードが平文で表示される、保護されていない平文パスワードを表示できます。

    CVE-2024-36461

        変更のための JS エンジン内のメモリポインターへの直接アクセス。
        この脆弱性により、1 つのアイテム構成にアクセスできるユーザー (制限されたロール) があるため、リモートコードの実行によって、監視ソリューションのインフラ全体が侵害される可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 1:5.0.44+dfsg-1+deb11u1 で修正されました。

    お使いの zabbix パッケージをアップグレードすることを推奨します。

    zabbix の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/zabbix

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

    前述のとおり、このバージョンは新しい Upstream のメンテナンスのリリースです。
    Upstream のアップグレードノートには、以下の変更が記載されています。
    (Debian Bullseye に関連しない変更は省略されています。)

    5.0.11 のアップグレードの注意

        VMware イベントコレクター - VMware イベントコレクターの動作が変更され、メモリオーバーロードの問題が修正されました。

    5.0.31 のアップグレードの注意

        History syncers のパフォーマンスを改善しました

        History syncers のパフォーマンスは、新しい読み書きロックを導入することで改善されました。これにより、構成キャッシュへのアクセス中に共有読み取りロックを使用することで、履歴 syncer、trappers、proxy poller 間のロックが減少します。新しいロックは、構成キャッシュのリロードを実行する構成 syncer によってのみ書き込みロックできます。

    5.0.32 のアップグレードの注意

        前処理の JavaScript オブジェクトに対して、次の制限が導入されました。

        Log() メソッドで記録できるすべてのメッセージの合計サイズは、スクリプトの実行ごとに 8 MB に制限されています。
        複数の CurlHttpRequest オブジェクトの初期化は、スクリプト実行ごとに 10 に制限されています。AddHeader() メソッドで単一の CurlHttpRequest オブジェクトに追加できるヘッダーフィールドの合計長は、128 キロバイトに制限されました (特殊文字およびヘッダー名を含む)。

    添付ファイル:
    signature.asc 説明: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2024:0384-1 advisory.

    Zabbix was updated to 6.0.33:

    - this version fixes CVE-2024-36461 and CVE-2024-22114
    - New Features and Improvements

      + ZBXNEXT-9000 Changed query table for ASM disk group metrics in Oracle Database plugin and         Oracle by ODBC template Agent Templates       + ZBXNEXT-9217 Added AWS Lambda by HTTP template Templates       + ZBXNEXT-9293 Updated max supported MySQL version to 9.0 Proxy Server       + ZBXNEXT-8657 Updated Zabbix health templates with new visualization Templates       + ZBXNEXT-9143 Added index on auditlog recordsetid Server       + ZBXNEXT-9081 Added Small Computer System Interface (SCSI) device type support to Zabbix agent 2 Smart     plugin Agent       + ZBXNEXT-6445 Added recovery expression for fuzzytime triggers in Linux and Windows templates,         removed fuzzytime triggers from active agent templates Templates       + ZBXNEXT-9201 Updated max supported MySQL version to 8.4 Proxy Server       + ZBXNEXT-9225 Updated max supported TimescaleDB version to 2.15 Server       + ZBXNEXT-9226 Updated max supported MariaDB version to 11.4 Proxy Server       + ZBXNEXT-8868 Added discovery and template for Azure VM Scale Sets Templates

    - Bug Fixes

      + BX-24947 Fixed PHP runtime errors while processing frontend notifications Frontend       + ZBX-24824 Improved loadable plugin connection broker Agent       + ZBX-24583 Fixed inability to export/import web scenario with digest authentication API       + ZBX-23905 Fixed double scroll in script dialogs Frontend       + ZBX-18767 Fixed word breaks in flexible text input fields and trigger expressions Frontend       + ZBX-24909 Fixed resolving of macro functions in the 'Item value' widget Frontend       + ZBX-24859 Fixed JavaScript in S3 buckets discovery rule Templates       + ZBX-24617 Fixed hardcoded region in AWS by HTTP template Templates       + ZBX-24524 Fixed 'New values per second' statistic to include dependent items in calculation Proxy     Server       + ZBX-24821 Made 'execute_on' value being recorded in audit only for shell scripts Server       + ZBX-23312 Fixed discovery edit form being saved incorrectly after dcheck update Frontend       + ZBX-24773 Fixed duplicate item preprocessing in Kubernetes Kubelet by HTTP template Templates       + ZBX-24514 Fixed standalone Zabbix server and Zabbix proxy not stopping when database is read-only     Proxy Server       + ZBX-23936 Fixed state and styling of readonly fields Frontend       + ZBX-24520 Fixed an issue with incorrect translations used in several frontend places Frontend       + ZBX-21815 Fixed issue with undefined offset for media type when it was deleted before saving the user     Frontend       + ZBX-24108 Fixed error in dashboard if Map widget contains map element that user doesn't have access to     Frontend       + ZBX-24569 Fixed old and added new items to Azure Virtual Machine template Templates       + ZBX-24537 Fixed tags subfilter in Latest data kiosk mode Frontend       + ZBX-24167 Fixed template linkage when item prototype collision is found Server       + ZBX-23770 Improved monitoring user permissions documentation for Zabbix agent 2 Oracle plugin and     Oracle by ODBC template Documentation       + ZBX-24565 Removed redundant kernel header include, fixed musl compatibility issues (thanks to Alpine     Linux maintainers for spotting this)       + ZBX-24610 Fixed interface field appearance for discovered items without interface set Frontend       + ZBX-24562 Fixed incorrect problem order in Problems by severity widget's hintbox Frontend       + ZBX-23751 Fixed inability to pass an action filter condition without an 'operator' property, implying     a default value of 'Equal' API       + ZBX-21429 Prevented ability to disable all UI element access via role.update API API       + ZBX-19271 Fixed inconsistent tag row rendering in different edit forms Frontend       + ZBX-24539 Fixed incorrect threshold in trigger expression of Check Point Next Generation Firewall by     SNMP template Templates       + ZBX-24667 Fixed vm.memory.size[pused] item on Solaris Agent       + ZBX-23781 Added storage volumes check in HPE iLO by HTTP template Templates       + ZBX-24391 Fixed Zabbix agent to return net.tcp.socket.count result without error if IPv6 is disabled     Agent       + ZBX-24235 Fixed value misalignment in Item value widget Frontend       + ZBX-24352 Fixed custom severity name usage in Geomap widget Frontend       + ZBX-24665 Fixed potential problem with deprecated GCE Integrity feature Templates       + ZBX-20993 Fixed Zabbix agent 2 MQTT plugin clientID to be generated by strict requirements Agent       + ZBX-23426 Added dependent item with JavaScript preprocessing for edges SD-WAN in VMWare SD-WAN     VeloCloud by HTTP template Templates       + ZBX-24566 Fixed crash when expression macro is used in unsupported location Server       + ZBX-24450 Fixed issue where graph could differ for data gathered from PostgreSQL and other databases     Frontend       + ZBX-24513 Fixed real-time export of rarely updated trends Server       + ZBX-24163 Fixed submap addition in Map navigation tree widget to not append same submaps repeatedly     Frontend       + ZBX-23398 Fixed trigger expression constructor incorrectly showing '<' and '>' operators Frontend       + ZBX-23584 Fixed error message being displayed when updating host after changing item status Frontend       + ZBX-24635 Fixed datastore triggers in VMware templates Templates


    Update to 6.0.31:

    - New Features and Improvements

      + ZBXNEXT-9140 Added support for custom compartments in Oracle Cloud by HTTP templates Templates       + ZBXNEXT-9034 Added Jira Data Center by JMX template Templates       + ZBXNEXT-8682 Introduced a length limit of 512KB for item test values that server returns to Zabbix     frontend Frontend Server       + ZBXNEXT-8248 Added database filter macros to MySQL templates Templates       + ZBXNEXT-6698 Removed absolute threshold and timeleft from OS template triggers of filesystem space     Templates       + ZBXNEXT-7930 Added user macro support for username and password fields in email media type Server       + ZBXCTR-22 Refactored JavaScript filter functions for Kubernetes templates Templates       + ZBXNEXT-9098 Added AWS ELB Network Load Balancer by HTTP template Templates       + ZBXNEXT-6864 Replaced {HOST.CONN} with user macros in templates Templates       + ZBXNEXT-9117 Updated max supported MariaDB version to 11.3 Proxy Server       + ZBXNEXT-9026 Added Go compiler version to Zabbix agent 2 version output Agent       + ZBXNEXT-8786 Changed 'odbc.discovery' keys to 'odbc.get' in MySQL by ODBC and Oracle by ODBC templates     Templates       + ZBXNEXT-8536 Added cbdhsvc service to macros in Windows agent templates Templates       + ZBXNEXT-8861 Made changes and added more metrics to the FortiGate by SNMP template Templates       + ZBXNEXT-8240 Added a new set of templates for integration with Oracle Cloud Infrastructure Templates

    - Bug Fixes

      + ZBX-24483 Improved memory usage in Zabbix server/proxy trappers and in proxy         pollers when sending large configuration Proxy Server       + ZBX-23073 Fixed URL widget resizing and dragging Frontend       + ZBX-24574 Fixed HA node flipping between standby and active states Server       + ZBX-24119 Fixed possible blocking of alert manager when it periodically pings database Server       + ZBX-7998 Added VMware service username, password and URL check for empty values Proxy Server       + ZBX-24402 Reduced main process connections to database during startup Proxy Server       + ZBX-24369 Fixed filter behavior in monitoring pages after deleting filter parameters Frontend       + ZBX-24484 Fixed Geomap widget console error when dragging map in widget edit mode Frontend       + ZBX-23337 Improved supported version documentation for Oracle Database plugin and both templates     Documentation       + ZBX-24180 Fixed inability to import existing host or template when its dependent item prototype,         which is used in trigger prototypes or graph prototypes, would have a different master item API       + ZBX-20871 Fixed inability to use LLD macro functions in Prometheus pattern and labels used in item     prototype preprocessing API       + ZBX-24527 Fixed unnecessary loading text being displayed in hintbox preloader Frontend       + ZBX-24362 Fixed wrong Zabbix agent 2 loadable plugin process handling catching all child process exits     Agent       + ZBX-24470 Fixed scale of VMware vmware.vm.memory.size.compressed key Proxy Server       + ZBX-24415 Added triggers for datastores in VMware templates Templates       + ZBX-18094 Fixed multiple pie graph issues related to calculation of item angles Frontend       + ZBX-20766 Fixed confusing port binding error message Agent Proxy Server       + ZBX-24481 Fixed inability to unset value map from existing item or item prototype by passing         a version without valuemap parameter into configuration.import API       + ZBX-24531 Fixed compile time data not being set for agent2 Agent       + ZBX-24453 Implemented socket file cleanup when shutting down, added blocking of signals during     important stages of startup Proxy Server       + ZBX-24152 Fixed host form submission with Enter button if the form is opened in a popup and focus is     in a flexible text area field Frontend       + ZBX-23788 Added SNMP OID ifAlias in Network interfaces discovery Templates       + ZBX-24482 Fixed the presence of the http_proxy field in the initial data Installation       + ZBX-24210 Improved Zabbix agent 2 loadable plugin capacity code style Agent       + ZBX-23951 Fixed issue of incorrect template matching when no UUID exists in export file API       + ZBX-23953 Fixed CIDR network mask of VMware HV network interface Proxy Server       + ZBX-24195 Fixed host IPMI username and password field max length Frontend       + ZBX-24451 Added tags and changed a item in Proxmox template Templates       + ZBX-23386 Fixed hintbox sizing to fit screen Frontend       + ZBX-24024 Fixed OIDs for external sensors in APC UPC by SNMP templates Templates       + ZBX-21751 Fixed node's loadavg item in Proxmox template Templates       + ZBX-24315 Fixed linking template to host when some LLD macro paths already exist Server       + ZBX-24172 Fixed Zabbix server issue with scheduled intervals on Feb 29th of leap year Server       + ZBX-23407 Improved performance of retrieving last history values when primary keys are available API       + ZBX-24246 Updated descriptions for family of MySQL and Oracle templates,         changed macro in the trigger 'Tablespace utilization is too high' for family of Oracle templates     Templates       + ZBX-23988 Renamed Agent2 Go module       + ZBX-24222 Fixed incorrect item OIDs in the FortiGate by SNMP template Templates       + ZBX-24393 Updated README in Redis by Zabbix agent 2 template Templates       + ZBX-24298 Allowed any JNDI service providers back in JMX monitoring Java gateway       + ZBX-19990 Separated LLD filter macros in Apache Tomcat by JMX template Templates       + ZBX-24364 Added preprocessing steps for LLD rules in RabbitMQ templates Templates       + ZBX-24368 Improved PostgreSQL autovacuum's count query Templates       + ZBX-24282 Fixed Zabbix proxy to report error for not supported items Proxy Server       + ZBX-19507 Fixed vmware.eventlog item to recover after event keys are reset Server       + ZBX-24241 Fixed Zabbix server issue with random order of host groups for a host during real-time     export Server       + ZBX-24275 Fixed item prototype JSONPath preprocessing, added missing volume health metric and triggers     in HPE MSA templates Templates       + ZBX-24316 Fixed username macro in GridGain by JMX template Templates       + ZBX-23719 Updated plugin-support to add duplicate flag handling Agent       + ZBX-22429 Fixed typo in Zabbix proxy automake file Installation       + ZBX-24264 Fixed value cache being filled with values of newly added items with triggers Server       + ZBX-24088 Fixed problem filtering in maps with nested maps Frontend       + ZBX-24206 Fixed line breaks in JavaScript in Cloudflare template Templates       + ZBX-24236 Fixed nested transaction error in LLD when connection is terminated Server       + ZBX-24134 Added sensor discovery in VMware Hypervisor template Templates       + ZBX-23918 Fixed item pattern select popup to display all available items Frontend       + ZBX-24190 Fixed items being updated incorrectly when configuring graph Frontend       + ZBX-24289 Fixed issue with interface assignment for items copied from host to host Frontend       + ZBX-23032 Added triggers for cluster status in VMware templates Templates       + ZBX-23948 Added support for TabularData data when parsing an MBean attribute Java gateway       + ZBX-23742 Fixed tag filtering logic for tags with one name and different types of operators API       + ZBX-24271 Added delay in JavaScript execution for Azure Cost Management by HTTP template Templates       + ZBX-24208 Fixed Oracle, MySQL plugin connection cache blocking Agent       + ZBX-24202 Fixed JavaScript in AWS S3 bucket by HTTP template Templates       + ZBX-23478 Fixed issue when missing locale error would not be displayed for user under certain     conditions Frontend       + ZBX-24166 Fixed Zabbix not being able to restart due to RTC and sockets not being closed before     stopping Agent Proxy Server       + ZBX-23853 Fixed duplicate agent check timestamps when time shifts back due to system clock     synchronization Agent

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 40 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2024-8382d1b267 advisory.

    Fix for multiple CVEs

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3909 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3909-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                         Tobias Frost     October 03, 2024                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : zabbix     Version        : 1:5.0.44+dfsg-1+deb11u1     CVE ID         : CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917                      CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230                      CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454                      CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458                      CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726                      CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119                      CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461     Debian Bug     : 1014992 1014994 1026847 1053877 1055175 1078553

    Several security vulnerabilities have been discovered in zabbix, a network     monitoring solution, potentially among other effects allowing XSS, Code     Execution, information disclosure, remote code execution, impersonation or     session hijacking.

    As the version uploaded is a new upstrea maintainance version, there a a     few minor new features and behavioural changes with this version. Please     see below for further information.

    CVE-2022-23132

        During Zabbix installation from RPM, DAC_OVERRIDE SELinux capability is         in use to access PID files in [/var/run/zabbix] folder. In this case,         Zabbix Proxy or Server processes can bypass file read, write and execute         permissions check on the file system level

    CVE-2022-23133

        An authenticated user can create a hosts group from the configuration         with XSS payload, which will be available for other users. When XSS is         stored by an authenticated malicious actor and other users try to search         for groups during new host creation, the XSS payload will fire and the         actor can steal session cookies and perform session hijacking to         impersonate users or take over their accounts.

    CVE-2022-24349

        An authenticated user can create a hosts group from the configuration         with XSS payload, which will be available for other users. When XSS is         stored by an authenticated malicious actor and other users try to search         for groups during new host creation, the XSS payload will fire and the         actor can steal session cookies and perform session hijacking to         impersonate users or take over their accounts.

    CVE-2022-24917

        An authenticated user can create a link with reflected Javascript code         inside it for services page and send it to other users. The payload can         be executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-24918

        An authenticated user can create a link with reflected Javascript code         inside it for items page and send it to other users. The payload can be         executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-24919

        An authenticated user can create a link with reflected Javascript code         inside it for graphs page and send it to other users. The payload can         be executed only with a known CSRF token value of the victim, which is         changed periodically and is difficult to predict. Malicious code has         access to all the same objects as the rest of the web page and can make         arbitrary modifications to the contents of the page being displayed to a         victim during social engineering attacks.

    CVE-2022-35229

        An authenticated user can create a link with reflected Javascript code         inside it for the discovery page and send it to other users. The payload         can be executed only with a known CSRF token value of the victim, which         is changed periodically and is difficult to predict.

    CVE-2022-35230

        An authenticated user can create a link with reflected Javascript code         inside it for the graphs page and send it to other users. The payload         can be executed only with a known CSRF token value of the victim, which         is changed periodically and is difficult to predict.

    CVE-2022-43515

        Zabbix Frontend provides a feature that allows admins to maintain the         installation and ensure that only certain IP addresses can access it. In         this way, any user will not be able to access the Zabbix Frontend while         it is being maintained and possible sensitive data will be prevented         from being disclosed.  An attacker can bypass this protection and access         the instance using IP address not listed in the defined range.

    CVE-2023-29449

        JavaScript preprocessing, webhooks and global scripts can cause         uncontrolled CPU, memory, and disk I/O utilization.
        Preprocessing/webhook/global script configuration and testing are only         available to Administrative roles (Admin and Superadmin). Administrative         privileges should be typically granted to users who need to perform         tasks that require more control over the system. The security risk is         limited because not all users have this level of access.

    CVE-2023-29450

        JavaScript pre-processing can be used by the attacker to gain access to         the file system (read-only access on behalf of user zabbix) on the         Zabbix Server or Zabbix Proxy, potentially leading to unauthorized         access to sensitive data.

    CVE-2023-29454

        A Stored or persistent cross-site scripting (XSS) vulnerability was         found on Users section in Media tab in Send to form field.  When         new media is created with malicious code included into field Send to         then it will execute when editing the same media.

    CVE-2023-29455

        A Reflected XSS attacks, also known as non-persistent attacks, was found         where an attacker can pass malicious code as GET request to graph.php         and system will save it and will execute when current graph page is         opened.

    CVE-2023-29456

        URL validation scheme receives input from a user and then parses it to         identify its various components. The validation scheme can ensure that         all URL components comply with internet standards.

    CVE-2023-29457

        A Reflected XSS attacks, also known as non-persistent attacks, was found         where XSS session cookies could be revealed, enabling a perpetrator to         impersonate valid users and abuse their private accounts.

    CVE-2023-29458

        Duktape is an 3rd-party embeddable JavaScript engine, with a focus on         portability and compact footprint. When adding too many values in         valstack JavaScript will crash. This issue occurs due to bug in Duktape         2.6 which is an 3rd-party solution that we use.

    CVE-2023-32721

        A stored XSS has been found in the Zabbix web application in the Maps         element if a URL field is set with spaces before URL.

    CVE-2023-32722

        The zabbix/src/libs/zbxjson module is vulnerable to a buffer overflow         when parsing JSON files via zbx_json_open.

    CVE-2023-32724

        Memory pointer is in a property of the Ducktape object. This leads to         multiple vulnerabilities related to direct memory access and         manipulation.

    CVE-2023-32726

        Possible buffer overread from reading DNS responses.

    CVE-2023-32727

        An attacker who has the privilege to configure Zabbix items can use         function icmpping() with additional malicious command inside it to         execute arbitrary code on the current Zabbix server.

    CVE-2024-22114

        A user with no permission to any of the Hosts can access and view host         count & other statistics through System Information Widget in Global         View Dashboard.

    CVE-2024-22116

        An administrator with restricted permissions can exploit the script         execution functionality within the Monitoring Hosts section. The lack of         default escaping for script parameters enabled this user ability to         execute arbitrary code via the Ping script, thereby compromising         infrastructure.

    CVE-2024-22119

        Stored XSS in graph items select form

    CVE-2024-22122

        Zabbix allows to configure SMS notifications. AT command injection         occurs on Zabbix Server because there is no validation of Number         field on Web nor on Zabbix server side. Attacker can run test of SMS         providing specially crafted phone number and execute additional AT         commands on the modem.

    CVE-2024-22123

        Setting SMS media allows to set GSM modem file. Later this file is used         as Linux device. But due everything is a file for Linux, it is possible         to set another file, e.g. log file and zabbix_server will try to         communicate with it as modem. As a result, log file will be broken with         AT commands and small part for log file content will be leaked to UI.

    CVE-2024-36460

        The front-end audit log allows viewing of unprotected plaintext         passwords, where the passwords are displayed in plain text.

    CVE-2024-36461

        Direct access to memory pointers within the JS engine for modification.
        This vulnerability allows users with access to a single item         configuration (limited role) to compromise the whole infrastructure of         the monitoring solution by remote code execution.

    For Debian 11 bullseye, these problems have been fixed in version     1:5.0.44+dfsg-1+deb11u1.

    We recommend that you upgrade your zabbix packages.

    For the detailed security status of zabbix please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/zabbix

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

    As stated above, this version is a new upstream maintaince release.
    Upstream's upgrade notes lists the following changes:
    (Changes not relevant for Debian bullseye have been omitted.)

    Upgrade notes for 5.0.11

        VMware event collector - The behavior of VMware event collector has been         changed to fix a memory overload issue.

    Upgrade notes for 5.0.31

        Improved performance of history syncers

        The performance of history syncers has been improved by introducing a         new read-write lock. This reduces locking between history syncers,         trappers and proxy pollers by using a shared read lock while accessing         the configuration cache. The new lock can be write  locked only by the         configuration syncer performing a configuration cache reload.

    Upgrade notes for 5.0.32

        The following limits for JavaScript objects in preprocessing have been         introduced:

        The total size of all messages that can be logged with the Log() method         has been limited to 8 MB per script execution.
        The initialization of multiple CurlHttpRequest objects has been limited         to 10 per script execution.  The total length of header fields that can         be added to a single CurlHttpRequest object with the AddHeader() method         has been limited to 128 Kbytes (special characters and header names         included).

    Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Zabbix 内，用户可以直接修改 JavaScript 引擎中的内存指针。
    (CVE-2024-36461)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Zabbix 中，使用者可直接修改 JavaScript 引擎中的記憶體指標。
    (CVE-2024-36461)

請注意，Nessus 依賴供應商報告的套件存在。

ID	Name	Product	Family	Published	Updated	Severity
206179	Fedora 39 : zabbix (2024-c89d2ecdea)	Nessus	Fedora Local Security Checks	8/24/2024	12/11/2024	critical
206179	Fedora 39: zabbix (2024-c89d2ecdea)	Nessus	Fedora Local Security Checks	8/24/2024	12/11/2024	critical
229220	Linux Distros Unpatched Vulnerability : CVE-2024-36461	Nessus	Misc.	3/5/2025	8/27/2025	high
208100	Debian dla-3909：zabbix-agent - 安全更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
208100	Debian dla-3909：zabbix-agent - 安全性更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
229220	Linux Distros のパッチ未適用の脆弱性: CVE-2024-36461	Nessus	Misc.	3/5/2025	8/27/2025	high
206178	Fedora 40: zabbix (2024-8382d1b267)	Nessus	Fedora Local Security Checks	8/24/2024	12/11/2024	critical
208100	Debian dla-3909 : zabbix-agent - セキュリティ更新	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
212492	openSUSE 15 Security Update : zabbix (openSUSE-SU-2024:0384-1)	Nessus	SuSE Local Security Checks	12/11/2024	12/11/2024	high
206178	Fedora 40 : zabbix (2024-8382d1b267)	Nessus	Fedora Local Security Checks	8/24/2024	12/11/2024	critical
208100	Debian dla-3909 : zabbix-agent - security update	Nessus	Debian Local Security Checks	10/3/2024	10/3/2024	critical
229220	Linux Distros 未修补的漏洞: CVE-2024-36461	Nessus	Misc.	3/5/2025	8/27/2025	high
229220	Linux Distros 未修補弱點：CVE-2024-36461	Nessus	Misc.	3/5/2025	8/27/2025	high

Detections

Analytics

Plugins Search

critical

critical

high

critical

critical

high

critical

critical

high

critical

critical

high

high