Zabbix

In Zabbix können nicht-administrative Benutzerkonten des Frontends mit der Standardrolle User oder jeder anderen Rolle mit API-Zugriff eine Schwachstelle ausnutzen. Eine SQL-Injection besteht in der CUser-Klasse in der Funktion addRelatedObjects, die von der für jeden API-Nutzer verfügbaren CUser.get-Funktion aufgerufen wird. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

Das HttpRequest-Objekt in Zabbix ermöglicht es, die HTTP-Header aus der Antwort des Servers auszulesen. Die zurückgegebenen Zeichenketten werden direkt aus den Serverdaten erzeugt und nicht korrekt für JavaScript kodiert. Dadurch lassen sich interne Zeichenketten erzeugen, über die auf verborgene Eigenschaften von Objekten zugegriffen werden kann. CVSS-Basiswert: 9.1 (Kritisch).

In Zabbix kann ein Administrator mit eingeschränkten Berechtigungen die Skriptausführung im Bereich Monitoring Hosts missbrauchen. Da Skriptparameter standardmässig nicht escaped werden, lässt sich über das Ping-Skript beliebiger Code ausführen und die Infrastruktur kompromittieren. CVSS-Basiswert: 9.9 (Kritisch).

In Zabbix können Benutzer Speicherzeiger in der JavaScript-Engine direkt verändern. CVSS-Basiswert: 9.1 (Kritisch).

Der Zabbix-Server führt für konfigurierte Skripte Befehle aus und legt anschliessend einen Audit-Log-Eintrag an. Da das Feld clientip dabei nicht bereinigt wird, lässt sich SQL einschleusen und eine zeitbasierte Blind-SQL-Injection ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf eine bereinigte Zabbix-Version aktualisieren, sobald verfügbar.

In Zabbix erhält die im URL-Widget konfigurierte Website beim Testen oder Ausführen geplanter Berichte einen Session-Cookie. Dieser Cookie kann anschliessend genutzt werden, um als der betreffende Benutzer auf das Frontend zuzugreifen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Auf eine vom Hersteller bereinigte Version aktualisieren.

Templates behandeln Backticks nicht korrekt als JavaScript-String-Begrenzer und maskieren sie nicht wie erwartet. Enthält ein Template eine Template-Aktion innerhalb eines JavaScript-Template-Literals, kann deren Inhalt das Literal beenden und beliebigen JavaScript-Code einschleusen. Mit dem Fix werden solche Templates beim Parsen mit einem Fehler abgewiesen. CVSS-Basiswert: 9.8 (Kritisch).

Das Modul zbxjson von Zabbix ist beim Verarbeiten von JSON-Dateien über zbx_json_open anfällig für einen Pufferüberlauf. CVSS-Basiswert: 9.6 (Kritisch).

Ein Speicher-Zeiger befindet sich in einer Eigenschaft des Ducktape-Objekts. Dies führt zu mehreren Schwachstellen im Zusammenhang mit direktem Speicherzugriff und -manipulation. CVSS-Basiswert: 9.1 (Kritisch).

Das Paket zabbix-agent2 vor 5.4.9-r1 für Alpine Linux ermöglicht unter Umständen eine Rechteausweitung auf root, weil im Design fälschlich angenommen wurde, dass systemd Teile der Konfiguration bestimmt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf zabbix-agent2 5.4.9-r1 oder neuer aktualisieren.

Ein authentifizierter Zabbix-Benutzer (Rolle User) mit Schreibrechten auf Templates/Hosts kann über die API configuration.import Objekte erstellen. Dies kann laut Quelldaten zu einem Vertraulichkeitsverlust führen, indem nicht autorisierte Objekte angelegt werden; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Zabbix-Administrator kann während der automatischen Entfernung von Hosts beliebigen SQL-Code einschleusen, indem er bösartigen SQL-Code in das Feld „Visible name“ einträgt. CVSS-Basiswert: 7.2 (Hoch).

Ein niedrig privilegierter (regulärer) Zabbix-Benutzer mit API-Zugriff kann eine SQL-Injection-Schwachstelle in include/classes/api/CApiService.php nutzen, um über den Parameter groupBy beliebige SQL-Befehle auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte Zabbix-Version aktualisieren.

In Zabbix erlaubt ein Fehler im Code das Signieren eines gefälschten zbx_session-Cookies, mit dem sich ein Angreifer anschliessend mit Administratorrechten anmelden kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellte korrigierte Version einspielen.

Ein authentifizierter Benutzer mit API-Zugriff, etwa mit der Standardrolle User und Zugriff auf den API-Endpunkt user.update, kann sich selbst zu beliebigen Benutzergruppen hinzufügen – einschliesslich privilegierter Gruppen wie Zabbix Administrators. Ausgenommen sind deaktivierte Gruppen oder Gruppen mit eingeschränktem GUI-Zugriff. CVSS-Basiswert: 7.5 (Hoch).

Das Frontend-Audit-Log von Zabbix zeigt ungeschützte Klartext-Passwörter an. Nutzer mit Zugriff auf das Audit-Log können dadurch sensible Zugangsdaten einsehen. CVSS-Basiswert: 8.1 (Hoch).

In Zabbix kann unkontrollierter Ressourcenverbrauch auftreten: Ein Angreifer bzw. ein System kann übermässig CPU, Arbeitsspeicher oder Netzwerkbandbreite ohne angemessene Begrenzung beanspruchen. Dies kann zu einem Denial-of-Service-Angriff führen oder die Leistung des betroffenen Systems beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch).

In Zabbix wird eine Anfrage an das LDAP gesendet, bevor die Benutzerrechte geprüft werden. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

In der Zabbix-Weboberfläche wurde eine gespeicherte XSS-Schwachstelle im Maps-Element gefunden, wenn im URL-Feld Leerzeichen vor der URL gesetzt werden. CVSS-Basiswert: 7.6 (Hoch).