Zabbix未授权接见缝隙安全公告

颁布功夫 2019-10-11

缝隙编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


Zabbix <= 4.4


缝隙概述


Zabbix是拉脱维亚ZabbixSIA公司的一套开源的监控系统。该系统可监督各类网络参数，并提供通知机造让系统治理员急剧定位、解决存在的各类问题。


Zabbix存在一个未授权接见缝隙，通过该缝隙，攻击者能够在未经授权的情况下接见Zabbix服务器上的数据，导致敏感信息泄露。


缝隙验证


EXP：https://www.exploit-db.com/exploits/47474。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页

或参考网址以获取解决法子：

https://support.zabbix.com/projects/ZBX/issues/ZBX-16748?filter=allissues


缓解措施：

对Zabbix服务器开启接见节造，只允许白名单内的用户接见Zabbix服务器。


参考链接


https://www.exploit-db.com/exploits/47474