遠端 Debian 10 主機上安裝的多個套件受到 dla-3390 公告中提及的多個弱點影響。

  - Zabbix 4.4.0alpha1 以及之前所有版本允許列舉使用者。透過登入要求，可以根據不同的伺服器回應 (例如，「登入名稱或密碼不正確」和「無系統存取權限」訊息，或僅封鎖數秒) 列舉應用程式的使用者名稱。
    此問題影響 api_jsonrpc.php 和 index.php。(CVE-2019-15132)

  - 在 Zabbix 3.0.32rc1 之前版本 、4.0.22rc1 之前的 4.x、4.1.x 至 4.4.10rc1 之前的 4.4.x 版，以及 5.0.2rc1 之前的 5.x 版本中，URL Widget 中存在儲存型 XSS 弱點。(CVE-2020-15803)

  - 在 Zabbix 4.0.28rc1 之前的 4.0.x 版、5.0.10rc1 之前的 5.0.0alpha1、5.2.6rc1 之前的 5.2.x 以及 5.4.0alpha1 至 5.4.0beta2 版本中，CControllerAuthenticationUpdate 控制器缺少 CSRF 保護機制。此控制器內的程式碼會呼叫 init() 方法內的 diableSIDValidation。攻擊者不一定要知道 Zabbix 使用者登入認證，但必須知道正確的 Zabbix URL 並且具有足夠權限的現有使用者的聯絡資訊。(CVE-2021-27927)

  - 經驗證的使用者可以針對動作頁面建立具有反射式 XSS 承載的連結，並將其傳送給其他使用者。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可對顯示給受害者的頁面內容進行任意修改。可在社交工程的協助及數個因素到期的情況下實施此攻擊 - 攻擊者應已授權存取 Zabbix Frontend，並允許惡意伺服器和受害者電腦之間的網路連線、瞭解受攻擊的基礎結構、被受害者識別為受託人及使用受信任的通訊通道。(CVE-2022-24349)

  - 經驗證的使用者可以針對伺服器頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。(CVE-2022-24917)

  - 經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。(CVE-2022-24919)

  - 經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。此承載只能使用已知的受害者的 CSRF 權杖值執行，而此值會定期變更並且難以預測。(CVE-2022-35230)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3390-1：zabbix - LTS 安全性更新

high Nessus Plugin ID 174179

版本 1.0