【漏洞预警】Zabbix Sia Zabbix访问控制错误漏洞（CVE-2022-23132）

 01

漏洞描述

Zabbix Sia Zabbix是拉脱维亚Zabbix SIA（Zabbix Sia）公司的一套开源的监控系统。它能监控各种网络参数以及服务器健康性和完整性的软件。zabbix使用灵活的通知机制，允许用户为几乎任何实践配置基于邮件（短信、微信等）的告警。这样可以快速反馈服务器的问题。基于已存储的数据，zabbix提供了出色的报告和数据可视化功能。
Zabbix Sia Zabbix 4.0.36、5.0.18、5.4.8和6.0.0alpha7版本存在访问控制错误漏洞，该漏洞源于程序在从RPM安装Zabbix时，DAC_OVERRIDESELinux功能可用于访问[/var/run/zabbix]文件夹中的PID文件。攻击者可利用该漏洞通过Zabbix代理或服务器进程绕过文件系统的文件读、写和执行权限检查。

 02

漏洞危害

在从 RPM 安装 Zabbix 期间，DAC_OVERRIDE SELinux 功能用于访问[/var/run/zabbix] 文件夹中的 PID 文件。在这种情况下，Zabbix Proxy 或 Server 进程可以绕过文件系统级别的文件读取、写入和执行权限检查

 03

影响范围

Zabbix Sia Zabbix Sia Zabbix 6.0.0alpha7
Zabbix Sia Zabbix Sia Zabbix 5.4.8
Zabbix Sia Zabbix Sia Zabbix 5.0.18
Zabbix Sia Zabbix Sia Zabbix 4.0.36

04

漏洞等级

   

   高危

 05

修复方案

ZABBIX已经为此发布了一个安全公告（CVE-2022-23132）以及相应补丁:
CVE-2022-23132：Incorrect permissions of [/var/run/zabbix] forces dac_override (CVE-2022-23132)链接:
https://support.zabbix.com/browse/ZBX-20341

END

长按识别二维码，了解更多

原文始发于微信公众号（易东安全研究院）：【漏洞预警】Zabbix Sia Zabbix访问控制错误漏洞（CVE-2022-23132）