Zabbix 新增两个漏洞!CISA 已知被利用漏洞列表中,新增两个 Zabbix 漏洞

华盟原创文章投稿奖励计划

CISA 命令所有联邦民事行政部门机构 (FCEB) 在2022 年 3 月 8 日之前,解决这两个Zabbix 漏洞

Security Affairs 资讯网站披露,美国网络安全基础设施和安全局(CISA) 在其已知被利用漏洞目录中,新增了两个 Zabbix 漏洞。据悉,漏洞会影响 Zabbix 基础设施监控工具。

【安全圈】 Zabbix 新增两个漏洞!CISA 已知被利用漏洞列表中,新增两个 Zabbix 漏洞

漏洞详情如下表:

【安全圈】 Zabbix 新增两个漏洞!CISA 已知被利用漏洞列表中,新增两个 Zabbix 漏洞

根据具有约束力的操作指令(BOD) 22-01要求:为了降低已知被利用漏洞的重大风险 ,FCEB 机构必须在截止日期前(3.8),解决已经被利用的漏洞,以避免网络攻击。另外,网络安全专家建议各组织尽快审查,并积极解决其基础设施中的漏洞。

值得一提的是,CISA 命令所有联邦民事行政部门机构 (FCEB) 在2022 年 3 月 8 日之前,解决这两个Zabbix 漏洞

漏洞分析

第一个漏洞:跟踪为 CVE-2022-23131 (CVSS 评分:9.8),攻击者可以通过配置 SAML 的 Zabbix 前端实现身份验证绕过、接管。

第二个漏洞:跟踪为 CVE-2022-23134 (CVSS 评分:5.3),攻击者可以利用它顺利通过步骤检查并可能更改 Zabbix 前端的配置。

这两个漏洞是由 SonarSource 研究员 Thomas Chauchefoin 披露,受影响的Zabbix Web 版本主要包括:5.4.8、5.0.18 和 4.0.36。

Zabbix 漏洞时间表:

【安全圈】 Zabbix 新增两个漏洞!CISA 已知被利用漏洞列表中,新增两个 Zabbix 漏洞

华盟知识星球入口

本文来源freebuf,经授权后由congtou发布,观点不代表华盟网的立场,转载请联系原作者。

发表评论