关于zabbix存在SQL注入高危漏洞的安全公告

近日,国家信息安全漏洞共享平台(CNVD)收录了zabbix存在的SQL注入漏洞(CNVD-2016-06408)。攻击者利用漏洞无需授权登录即可控制zabbix管理系统,或通过script等功能直接获取zabbix服务器的操作权限,进而有可能危害到用户单位整个网络系统的运行安全。由于zabbix服务器在境内应用较为广泛,有可能诱发较高的大规模攻击风险。

一、漏洞情况分析

zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源解决方案。 由于zabbix默认开启了guest权限,且默认密码为空,导致zabbix的jsrpc中profileIdx2参数存在insert方式的SQL注入漏洞。攻击者利用漏洞无需登录即可获取网站数据库管理员权限,或通过script等功能直接获取zabbix服务器的操作系权限。CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响较低版本zabbix系统,如已经确认的2.2.x, 3.0.0-3.0.3版本。根据CNVD初步普查情况,约有3.5万台zabbix服务器暴露在互联网上,其中排名TOP 5的国家和地区如下:中国(24.9%)、美国(18.8%)、俄罗斯(9.0%)、巴西(8.0%)、德国(5.4%),在中国境内排名TOP5的省份为:北京(32.6%)、浙江(23.2%)、广东(11.4%)、上海(7.8%)、江苏(4.3%)。同时,根据CNVD抽样测试结果(样本数量>500),zabbix服务器受漏洞直接影响(验证可攻击成功)的比例为34.8%,影响比例较高。通过对比发现,在不受漏洞影响的服务器样本中,有一部分服务器Header字段中不存在zbx_sessionid信息,对于防范攻击有一定的帮助。

三、漏洞修复建议

用户可通过禁用guest账户缓解该漏洞造成的威胁。目前,厂商已发布新版本修复此漏洞,CNVD建议用户关注厂商主页,升级到最新版本。

附:参考链接:

https://support.zabbix.com/browse/ZBX-11023

http://www.zabbix.com/download.php(官方下载页面)

http://www.cnvd.org.cn/flaw/show/CNVD-2016-06408

(注:作为CNVD成员单位,安恒信息技术团队第一时间向CNVD秘书处提供了漏洞原理分析情况)

原文发布于微信公众号 - 安恒信息(DBAPP2013)

原文发表时间:2016-08-20

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏SAP最佳业务实践

SAP最佳业务实践:SD–外贸出口处理(118)-3销售订单

一、VA01输入销售订单 在此活动中,您可以输入一个销售订单。 后勤 ®销售和分销 ®销售®订单®创建 如果已在系统中安装可退货处理 业务情景,并使用物料 H...

51590
来自专栏FreeBuf

钓鱼攻击工具包Angler Exploit Kit已感染超过9w网站

近期,Palo Alto Networks的分析报告显示,Angler Exploit Kit的持续感染已经导致超过90000个网站被攻破,且大多数网站在Ale...

27150
来自专栏源哥的专栏

基于linux的嵌入IPv4协议栈的内容过滤防火墙系统(2)-概要引言

概要:在Linux系统下,具有图形界面的防火墙系统很少,而包含内容过滤的防火墙系统更可以说是少之又少,本程序不仅具有防火墙功能,而且可以对rar、zip压缩格式...

7630
来自专栏禹都一只猫博客

记一次作死玩了一条Linux禁令!

26170
来自专栏FreeBuf

2015年数据库漏洞威胁报告

互联网就像空气,彻底的融入我们的生活之中。因此我们愈发习惯把越来越多的数据保存在网上以换取更便捷的服务。不过,随之而来的安全事件无不让人触目惊心。 回忆2015...

25770
来自专栏FreeBuf

一步一步教你如何解锁被盗的iPhone 6S

即使你的iPhone6S设置了六位数的密码,甚至还设置了touch ID,但我要告诉你的是:你的手机仍然能被犯罪分子解锁。 ? 事件背景 三天前,一位苹果用户的...

322100
来自专栏企鹅号快讯

微软发布12月安全更新,修复34项安全问题

微软2017年12月发布的补丁星期二(2017年12月12日)更新解决了30多个安全漏洞,其中包括19个影响Internet Explorer和Edge网页浏览...

36380
来自专栏腾讯云安全的专栏

预警 | Linux 服务器惊现比特币勒索事件,做好四点可免遭损失

65880
来自专栏FreeBuf

Chrome漏洞可致恶意站点在用户在不知情的情况下录制音频和视频

有没有可能我们在不知情的情况下被电脑录音和录像?黑客可以从而听到你的每一通电话,看到你周围的人。 听来恐怖,但有的时候我们真的无法完全知晓我们的电脑在干什么。正...

34160
来自专栏黑白安全

“RedEye”新型勒索病毒软件破坏文件 重写MBR引导

新发现的一件勒索软件主要是为了摧毁受害者的文件而创建的,而不是将其加密并持有赎金。

8010

扫码关注云+社区

领取腾讯云代金券