リモートの Debian 10 ホストには、dla-3390 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.4.0alpha1 までの Zabbix ではユーザー列挙が可能です。ログインリクエストにより、サーバーの応答の多様性に基づいてアプリケーションのユーザー名を列挙することが可能です (例:「ログイン名またはパスワードが正しくありません」および「システムアクセスのための権限がありません」メッセージ、または数秒のブロッキング)。
    これは、api_jsonrpc.php と index.php の両方に影響します。(CVE-2019-15132)

  - Zabbix の 3.0.32rc1 より前、4.0.22rc1 より前の 4.x、4.4.10rc1 より前の 4.1.xから 4.4.x、および 5.0.2rc1 5.xより前により、URL ウィジェットに蓄積型の XSS が可能です。(CVE-2020-15803)

  - Zabbix の 4.0.28rc1 より前の4.0.x から、5.0.10rc1 より前の 5.0.0alpha1、5.2.6rc1 より前の 5.2.x、および 5.4.0beta2 より前の 5.4.0alpha1 では、CControllerAuthenticationUpdate コントローラーに CSRF 保護メカニズムがありません。このコントローラー内のコードは、init() メソッド内の diableSIDValidation を呼び出します。攻撃者は Zabbix ユーザーのログイン認証情報を知る必要はありませんが、十分な権限を持つ既存のユーザーの正しい Zabbix URL とコンタクト情報を知っている必要があります。(CVE-2021-27927)

  - 認証されたユーザーは、アクションのページに対して反映された XSS ペイロードでリンクを作成し、それを他のユーザーに送信できます。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。この攻撃は、ソーシャルエンジニアリングと多くの要素の期限切れを利用して実装できます - 攻撃者は Zabbix Frontend へのアクセスを承認し、悪意のあるサーバーと被害者のコンピューター間のネットワーク接続を許可し、攻撃されたインフラを把握し、被害者に受託者および信頼できる通信チャネルとして認識される必要があります。(CVE-2022-24349)

  - 認証されたユーザーは、サービスのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。(CVE-2022-24917)

  - 認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。悪意のあるコードは、Web ページの残りの部分と同じオブジェクトすべてにアクセスでき、ソーシャルエンジニアリング攻撃中に被害者に表示されているページのコンテンツに任意の変更を加える可能性があります。(CVE-2022-24919)

  - 認証されたユーザーは、グラフのページに対して反映された Javascript コードでリンクを作成し、それを他のユーザーに送信できます。ペイロードは、被害者の既知の CSRF トークン値でのみ実行できます。これは定期的に変更され、予測が困難です。(CVE-2022-35230)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3390-1: zabbix - LTS セキュリティ更新

high Nessus プラグイン ID 174179

バージョン 1.1