遠端 Debian 11 主機上安裝的多個套件受到 dla-3909 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3909-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 3 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：zabbix 版本： 1:5.0.44+dfsg-1+deb11u1 CVE ID： CVE-2022-23132 CVE-2022-23133 CVE-2022-24349 CVE-2022-24917 CVE-2022-24918 CVE-2022-24919 CVE-2022-35229 CVE-2022-35230 CVE-2022-43515 CVE-2023-29449 CVE-2023-29450 CVE-2023-29454 CVE-2023-29455 CVE-2023-29456 CVE-2023-29457 CVE-2023-29458 CVE-2023-32721 CVE-2023-32722 CVE-2023-32724 CVE-2023-32726 CVE-2023-32727 CVE-2024-22114 CVE-2024-22116 CVE-2024-22119 CVE-2024-22122 CVE-2024-22123 CVE-2024-36460 CVE-2024-36461 Debian 錯誤： 1014992 1014994 1026847 1053877 1055175 1078553

    在網路監控解決方案 zabbix 中發現數個安全性弱點，可能會造成其他影響，進而允許 XSS、程式碼執行、資訊洩漏、遠端程式碼執行、假冒或工作階段劫持。

    由於上傳的版本是新的上游維護版本，因此這個版本有一些次要的新功能和行為改變。如需詳細資訊，請參閱下面內容。

    CVE-2022-23132

        在從 RPM 安裝 Zabbix 期間，可以使用 DAC_OVERRIDE SELinux 功能存取 [/var/run/zabbix] 資料夾中的 PID 檔案。在此情況下，Zabbix Proxy 或伺服器處理程序可繞過檔案系統層級的檔案讀取、寫入及執行權限檢查。

    CVE-2022-23133

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24349

        經驗證的使用者可從具有 XSS 承載的組態建立主機群組，該群組可供其他使用者使用。當 XSS 是由經驗證的惡意執行者所儲存，而其他使用者在新主機建立期間嘗試搜尋群組時，將會觸發 XSS 承載，且執行者可竊取工作階段 Cookie 並執行工作階段劫持，以模擬使用者或接管其帳戶。

    CVE-2022-24917

        經驗證的使用者可以針對服務頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24918

        經驗證的使用者可以針對項目頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-24919

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。惡意程式碼可存取與網頁其餘部分相同的所有物件，並可在社交工程攻擊期間對顯示給受害者的頁面內容進行任意修改。

    CVE-2022-35229

        經驗證的使用者可以針對發現頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-35230

        經驗證的使用者可以針對圖形頁面建立內含反射式 Javascript 程式碼的連結，並將其傳送給其他使用者。承載只能使用受害者的已知 CSRF token 值執行，該值會定期變更且難以預測。

    CVE-2022-43515

        Zabbix Frontend 提供的功能讓管理員可以維護安裝程式，以及確保只有特定 IP 位址可存取該安裝程式。如此一來，任何使用者都將無法在維護 Zabbix Frontend 期間進行存取，並且這樣可以防止潛在的敏感資料遭到洩漏。攻擊者可繞過此保護機制，並使用未列於規定範圍內的 IP 位址存取執行個體。

    CVE-2023-29449

        JavaScript 預處理、webhook 和全域指令碼可造成不受控制的 CPU、記憶體和磁碟 I/O 使用率。
        Preprocessing/webhook/global 指令碼組態和測試僅適用於系統管理角色 (Admin 和 Superadmin)。通常應將管理權限授予執行任務時需要對於系統擁有更多控制的使用者。安全性風險有限，原因是並非所有使用者都有此層級的存取權。

    CVE-2023-29450

        攻擊者可利用 JavaScript 預先處理功能來取得 Zabbix Server 或 Zabbix Proxy 上檔案系統的存取權 (以使用者 zabbix 的唯讀存取權)，這可能導致未經授權存取敏感資料。

    CVE-2023-29454

        在「媒體」索引標籤內「使用者」區段的「傳送至表單」欄位中發現一個已儲存或持續跨網站指令碼 (XSS) 弱點。建立新媒體時，若將惡意程式碼包含在欄位「傳送至」中，則其會在編輯相同媒體時執行。

    CVE-2023-29455

        發現存在反射型 XSS 攻擊 (也稱為非持續式攻擊)，攻擊者可將惡意程式碼作為 GET 要求傳遞至 graph.php，系統會將其儲存並且在目前圖形頁面開啟時執行。

    CVE-2023-29456

        網址驗證配置會接收使用者的輸入，然後進行剖析以識別其各種元件。驗證配置可以確保所有網址元件都符合網際網路標準。

    CVE-2023-29457

        發現存在反射型 XSS 攻擊 (又稱為非持續式攻擊)，使得 XSS 工作階段中的 Cookie 遭到洩漏，不懷好意者能夠模擬有效使用者並濫用其私人帳戶。

    CVE-2023-29458

        Duktape 是第三方可內嵌 JavaScript 引擎，重點在於可攜性以及精巧的佔用空間。在 valstack 中新增太多值時，JavaScript 將會損毀。此問題是因為 Duktape 2.6 (我們使用的第三方解決方案) 中的錯誤所致。

    CVE-2023-32721

        如果在 URL 前使用空格設定 URL 欄位，則在 Zabbix Web 應用程式的 Maps 元素中存在一個儲存型 XSS。

    CVE-2023-32722

        透過 zbx_json_open 剖析 JSON 檔案時，zabbix/src/libs/zbxjson 模組容易發生緩衝區溢位。

    CVE-2023-32724

        記憶體指標位於 Ducktape 物件的內容中。這樣會導致多個與直接記憶體存取和操控相關的弱點。

    CVE-2023-32726

        讀取 DNS 回應時可能發生緩衝區過度讀取。

    CVE-2023-32727

        具有設定 Zabbix 項目權限的攻擊者可使用內含其他惡意命令的 icmpping() 函式，在目前的 Zabbix 伺服器上執行任意程式碼。

    CVE-2024-22114

        對於任何主機皆沒有權限的使用者可透過全域檢視儀表板中的「系統資訊小工具」存取和檢視主機計數及其他統計資料。

    CVE-2024-22116

        具有受限權限的系統管理員可惡意利用「監控主機」區段中的指令碼執行功能。指令碼參數缺少預設逸出，可讓此使用者透過 Ping 指令碼執行任意程式碼，進而侵入基礎結構。

    CVE-2024-22119

        圖形項目選取表單中儲存的 XSS

    CVE-2024-22122

        Zabbix 允許設定 SMS 通知。Zabbix 伺服器上發生 AT 命令注入，因為 Web 和 Zabbix 伺服器端都沒有數字欄位驗證。攻擊者可以提供特製的電話號碼執行 SMS 測試，並在數據機上執行其他 AT 命令。

    CVE-2024-22123

        設定 SMS 媒體允許設定 GSM 數據機檔案。稍後此檔案會作為 Linux 裝置使用。但由於 Linux 的所有項目都是檔案，因此可以設定例如記錄檔等其他檔案，而 zabbix_server 會嘗試以數據機與其通訊。因此，AT 命令會損毀記錄檔，同時記錄檔內容的小部分將會洩漏至 UI。

    CVE-2024-36460

        前端稽核記錄允許檢視未受保護的純文字密碼，其中密碼會以純文字顯示。

    CVE-2024-36461

        直接存取 JS 引擎內的記憶體指標以進行修改。
        此弱點允許具有單一項目組態存取權的使用者 (受限角色) 透過遠端程式碼執行危害監控解決方案的整個基礎結構。

    針對 Debian 11 bullseye，這些問題已在 1:5.0.44+dfsg-1+deb11u1 版本中修正。

    建議您升級 zabbix 套件。

    如需有關 zabbix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/zabbix

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    如上所述，此版本是新的上游維護版本。
    上游的升級備註列出了下列變更：
    (已省略與 Debian Bullseye 無關的變更。)

    5.0.11 的升級備註

        VMware 事件收集器 - VMware 事件收集器的行為已變更，修正了記憶體過載問題。

    5.0.31 的升級備註

        改善歷程記錄同步器的效能

        歷程記錄同步器的效能已透過引入新的讀寫鎖定有所改善。這會在存取組態快取時，使用共用讀取鎖定來減少歷程記錄同步器、設陷器和代理伺服器輪詢器之間的鎖定。新的鎖定只能由執行組態快取重新載入的組態同步器進行寫入鎖定。

    5.0.32 的升級備註

        在預處理中引入了 JavaScript 物件的下列限制：

        可使用 Log() 方法記錄的所有訊息總大小已限制為每次執行指令碼 8 MB。
        多個 CurlHttpRequest 物件的初始化限制為每次指令碼執行 10 個。可使用 AddHeader() 方法新增至單一 CurlHttpRequest 物件的標頭欄位總長度限制為 128 KB (包括特殊字元和標頭名稱)。

    附件：
    signature.asc 描述：PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-3909：zabbix-agent - 安全性更新

critical Nessus Plugin ID 208100

版本 1.1