在客户端网络监控解决方案 Zabbix 中发现多个漏洞。攻击者可能会枚举有效用户，并通过 zabbix Web 前端重定向至外部链接。

CVE-2019-15132

Zabbix 支持用户枚举。可以通过登录请求，根据服务器响应的可变性（例如，“登录名或密码不正确”和“无系统访问权限”消息，或仅阻止数秒）枚举应用程序用户名。这会影响 api_jsonrpc.php 和 index.php。

CVE-2020-15803

Zabbix 在 URL 小组件中允许存储型 XSS。此修复程序在之前上传 1:3.0.31+dfsg-0+deb9u1 中被错误丢弃。

此更新还包括多个其他缺陷修复和改进。
请参阅上游变更日志文件以获取更多信息。

对于 Debian 9 Stretch，已在版本  1:3.0.32+dfsg-0+deb9u1 中修复这些问题。

建议您升级 zabbix 程序包。

如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2631-1：zabbix 安全更新

medium Nessus 插件 ID 148926

版本 1.6