漏洞预警 | Zabbix代码执行漏洞

0x00 漏洞编号

• CVE-2023-32727

• CVE-2023-32728

0x01 危险等级

• 高危
  

0x02 漏洞概述

Zabbix是一款企业级开源监控解决方案，提供了多种方式来收集、转换、分析和可视化数据，监控任何你想要的东西。

0x03 漏洞详情

CVE-2023-32727

漏洞类型：代码执行

影响：执行任意代码

简述：有权配置Zabbix项目的威胁者可以使用函数icmpping()以及其中的附加恶意命令在当前Zabbix服务器上执行任意代码。

CVE-2023-32728

漏洞类型：代码注入

影响：执行任意代码

简述：由于Zabbix Agent2 item key smart.disk.get在将其参数传递给shell命令之前不会对其进行清理，可能导致远程代码执行，威胁者可在任何具有Zabbix Agent2侦听并安装了smartctl的设备上执行任意代码。

0x04 影响版本

CVE-2023-32727

• 4.0.0 <= Zabbix <= 4.0.49

• 5.0.0 <= Zabbix <= 5.0.38

• 6.0.0 <= Zabbix <= 6.0.22

• 6.4.0 <= Zabbix <= 6.4.7

• 7.0.0alpha0 <= Zabbix <= 7.0.0alpha6

CVE-2023-32728

• 5.0.0 <= Zabbix <= 5.0.38

• 6.0.0 <= Zabbix <= 6.0.23

• 6.4.0 <= Zabbix <= 6.4.8

• 7.0.0alpha1 <= Zabbix <= 7.0.0alpha7

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://www.zabbix.com/

原文始发于微信公众号（浅安安全）：漏洞预警 | Zabbix代码执行漏洞