KnowSafe 安全预警：Zabbix setup.php 认证绕过（CVE-2022-23134）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-23134 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

zabbix（[`zæbiks]）是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。CVE-2022-23134 中，攻击者可构造cookie，伪造身份访问setup.php，从而通过设置新数据库配置新增管理员账号，最终可登录Zabbix，造成敏感信息泄漏，以及任意代码执行。

影响范围

应用：zabbix zabbix（影响面 Up to (including) 5.4.8）

应用：zabbix zabbix（版本 6.0.0）

系统：debian_10 zabbix（影响面 Up to (excluding) 4.0.4+dfsg-1+deb10u4）

系统：debian_11 zabbix（影响面 Up to (excluding) 5.0.8+dfsg-1）

系统：debian_12 zabbix（影响面 Up to (excluding) 6.0.7+dfsg-2）

系统：fedora_34 zabbix（影响面 Up to (excluding) 5.0.19-1.fc34）

系统：fedora_35 zabbix（影响面 Up to (excluding) 5.0.19-1.fc35）

系统：fedora_EPEL_7 zabbix50（影响面 Up to (excluding) 5.0.19-1.el7）

……另有 2 项受影响环境，详见官方公告

解决方案

升级Zabbix至6.0.0beta2、5.4.9、5.0.19、4.0.37及其以上版本。

参考信息

https://lists.debian.org/debian-lts-announce/2022/02/msg00008.html

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6SZYHXINBKCY42ITFSNCYE7KCSF33VRA/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VB6W556GVXOKUYTASTDGL3AI7S3SJHX7/

https://support.zabbix.com/browse/ZBX-20384

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-23134

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。