SQL-инъекция в Zabbix позволяет получить полный контроль над системой
Zabbix — это широко используемый инструмент с открытым исходным кодом для мониторинга сетей и систем. Однако недавно в его системе безопасности была обнаружена серьезная уязвимость, которая дает злоумышленникам возможность получить полный контроль над затронутыми системами.
Данная уязвимость зарегистрирована под номером CVE-2024-42327 и затрагивает несколько версий Zabbix. Риск этой уязвимости оценивается на уровне 9,9 балла по шкале CVSS, что указывает на ее чрезвычайную серьезность.
Уязвимость была обнаружена в функции addRelatedObjects класса CUser во фронтенде Zabbix. Эта функция вызывается через метод CUser.get, доступ к которому имеет любой пользователь с правом работы через API.
Особую обеспокоенность вызывает то, что эксплуатация уязвимости возможна даже для учетных записей обычных пользователей с базовой ролью (User) или любой другой ролью, предоставляющей доступ к API. Это делает уязвимость особенно опасной.
Последствия успешной эксплуатации уязвимости могут включать:
- Неавторизованный доступ к базе данных Zabbix;
- Кражу конфиденциальной информации;
- Изменение или удаление критически важных данных мониторинга;
- Выполнение произвольных команд на сервере базы данных;
- Эскалацию привилегий внутри системы Zabbix.
Данная уязвимость способна нанести значительный ущерб целостности, конфиденциальности и функциональности инфраструктуры мониторинга.
Уязвимость затрагивает следующие версии Zabbix:
- 6.0.0–6.0.31;
- 6.4.0–6.4.16;
- 7.0.0.
По состоянию на 28 ноября 2024 года компания Zabbix еще не выпустила патч для устранения данной уязвимости. Однако они признали проблему и работают над ее решением.
До выпуска обновления безопасности специалисты рекомендуют принять следующие меры:
- Пересмотреть и ограничить права доступа к API;
- Внедрить дополнительные меры контроля доступа и мониторинга для фронтенда Zabbix;
- Использовать межсетевой экран веб-приложений (WAF) для выявления и блокировки возможных попыток SQL-инъекций;
- Проводить регулярный аудит ролей и прав пользователей;
- Ограничить доступ к серверу Zabbix с помощью сетевой сегментации;
- Отслеживать логи базы данных и приложений на предмет подозрительной активности.
Пользователям Zabbix рекомендуется уделить серьезное внимание данной уязвимости и незамедлительно установить обновления безопасности, как только они станут доступны. Возможность злоумышленников получить полный контроль над системой Zabbix подчеркивает важность защиты инфраструктуры мониторинга и конфиденциальной информации.
