发现基于 PHP 的监控系统 Zabbix 中的 iframe HTML 元素可能会导致跨站脚本漏洞。

对于 Debian 9“Stretch”，已在版本 1:3.0.7+dfsg-3+deb9u1 中修复此问题。

建议您升级 zabbix 程序包。

如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在客户端网络监控解决方案 Zabbix 中发现多个漏洞。攻击者可能会枚举有效用户，并通过 zabbix Web 前端重定向至外部链接。

CVE-2019-15132

Zabbix 支持用户枚举。可以通过登录请求，根据服务器响应的可变性（例如，“登录名或密码不正确”和“无系统访问权限”消息，或仅阻止数秒）枚举应用程序用户名。这会影响 api_jsonrpc.php 和 index.php。

CVE-2020-15803

Zabbix 在 URL 小组件中允许存储型 XSS。此修复程序在之前上传 1:3.0.31+dfsg-0+deb9u1 中被错误丢弃。

此更新还包括多个其他缺陷修复和改进。
请参阅上游变更日志文件以获取更多信息。

对于 Debian 9 Stretch，已在版本  1:3.0.32+dfsg-0+deb9u1 中修复这些问题。

建议您升级 zabbix 程序包。

如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM 主机上安装的多个程序包受到 USN-4767-1 公告中提及的多个漏洞影响。

  - 1.8.21rc1 之前的 Zabbix 1.8.x 、2.0.13rc1 之前的 2.0.x 、2.2.5rc1 之前的 2.2.x 和 2.3.2 之前的 2.3.x 中的 XML 外部实体 (XXE) 漏洞允许远程攻击者通过以下方式读取任意文件或可能通过 XML 请求中特制的 DTD 执行任意代码 。 (CVE-2014-3005)

  - 2.2.14 之前和 3.0.4 之前的 3.0 版本 Zabbix 中的 SQL 注入漏洞允许远程攻击者通过 latest.php 中的 toggle_ids 数组参数执行任意 SQL 命令。(CVE-2016-10134)

  - 2.2.21rc1 之前、3.0.13rc1 之前的 3.x 、3.2.10rc1 之前的 3.1.x 和 3.2.x、3.4.4rc1 之前的 3.3.x 和 3.4.x 版本 Zabbix 允许通过请求参数进行开放重定向。(CVE-2016-10742)

  - 2.0.18 之前、2.2.13 之前的 2.2.x 和 3.0.3 之前的 3.0.x 版本 Zabbix 中代理中的 mysql 用户参数配置脚本 (userparameter_mysql.conf)  ，当与 bash 以外的 shell 一起使用时，允许上下文相关的攻击者通过 mysql.size 参数执行任意代码或 SQL 命令。
    (CVE-2016-4338)

  - Zabbix 服务器 2.4.X 的 trapper 命令功能中存在可利用的代码执行漏洞。特制的一套程序包可导致命令注入，从而导致远程代码执行。攻击者可能会从活动的 Zabbix 代理发出请求，从而触发此漏洞。
    (CVE-2017-2824)

  - 在 Zabbix Server 2.4.x的 trapper 功能中，专门制作的 trapper 数据包可以通过数据库逻辑检查，从而导致数据库写入。攻击者可以设置中间人服务器来更改活动 Zabbix 代理和服务器之间发出的 trapper 请求，从而触发此漏洞。
    (CVE-2017-2825)

  - Zabbix 4.4.0alpha1 及之前版本支持用户枚举。可以通过登录请求，根据服务器响应的可变性（例如，“登录名或密码不正确”和“无系统访问权限”消息，或仅阻止数秒）枚举应用程序用户名。
    这会影响 api_jsonrpc.php 和 index.php。(CVE-2019-15132)

  - 3.0.31 之前的 2.2.x 和 3.0.x 以及 3.2 版本 Zabbix 服务器允许远程攻击者执行任意代码。
    (CVE-2020-11800)

  - 对于 Zabbix，在低于 3.0.32rc1 的版本、低于 4.0.22rc1 的 4.x 版、4.4.x 至 4.4.10rc1 之前的 4.1.x 版，以及 5.0.2rc1 之前的 5.x 版，攻击者可在 URL 小组件中存储 XSS。(CVE-2020-15803)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3390 公告中提及的多个漏洞影响。

  - Zabbix 4.4.0alpha1 及之前版本支持用户枚举。可以通过登录请求，根据服务器响应的可变性（例如，“登录名或密码不正确”和“无系统访问权限”消息，或仅阻止数秒）枚举应用程序用户名。
    这会影响 api_jsonrpc.php 和 index.php。(CVE-2019-15132)

  - 对于 Zabbix，在低于 3.0.32rc1 的版本、低于 4.0.22rc1 的 4.x 版、4.4.x 至 4.4.10rc1 之前的 4.1.x 版，以及 5.0.2rc1 之前的 5.x 版，攻击者可在 URL 小组件中存储 XSS。(CVE-2020-15803)

  - 对于 Zabbix，在低于 4.0.28rc1 的 4.0.x 版、低于 5.0.10rc1 的 5.0.0alpha1 版、低于 5.2.6rc1 的 5.2.x 版，以及低于 5.4.0beta2 的 5.4.0alpha1 版中，CControllerAuthenticationUpdate 控制器缺少 CSRF 保护机制。此控制器内的代码调用 init() 方法内的 diableSIDValidation。攻击者无需知道 Zabbix 用户登录凭据，但必须知道正确的 Zabbix URL 和具有足够权限的现有用户的联系信息。(CVE-2021-27927)

  - 经过身份验证的用户可以使用操作页面的反射型 XSS 负载创建链接，并将其发送给其他用户。恶意代码可以访问与网页其余部分相同的所有对象，并且可以对显示给受害者的页面内容进行任意修改。借助社交工程和多种因素可以实现此攻击：攻击者应具有对 Zabbix Frontend 的授权访问权限并允许恶意服务器和受害者计算机之间的网络连接，了解被攻击的基础架构，被受害者识别为受信任者并使用受信任的通信渠道。 (CVE-2022-24349)

  - 经过身份验证的用户可以为服务的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。(CVE-2022-24917)

  - 经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。恶意代码可以访问与网页其余部分相同的所有对象，并且可以在社交工程攻击期间，对显示给受害者的页面内容进行任意修改。(CVE-2022-24919)

  - 经过身份验证的用户可以为图表的页面创建带有反射型 Javascript 代码的链接，并将其发送给其他用户。只有使用受害者的已知 CSRF 标记值才能执行有效负载，该值会定期更改且难以预测。(CVE-2022-35230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
139297	Debian DLA-2311-1：zabbix 安全更新	Nessus	Debian Local Security Checks	2020/8/4	2024/2/27	medium
148926	Debian DLA-2631-1：zabbix 安全更新	Nessus	Debian Local Security Checks	2021/4/22	2024/1/16	medium
183641	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM：Zabbix 漏洞 (USN-4767-1)	Nessus	Ubuntu Local Security Checks	2023/10/21	2024/8/27	critical
174179	Debian DLA-3390-1：zabbix - LTS 安全更新	Nessus	Debian Local Security Checks	2023/4/12	2024/1/16	high

检测

插件搜索

medium

medium

critical

high