Zabbix Sicherheitslücke CVE-2024-22120: Timing-basierte SQL-Injection
Table of Contents
Die Entwickler von Zabbix haben eine kritische Sicherheitslücke (CVE-2024-22120) in der Zabbix Server Audit Log-Funktion geschlossen. Diese Schwachstelle ermöglicht eine Timing-basierte SQL-Injection, die zur Eskalation von Benutzerrechten und potenziell sogar zur Remote Code Execution (RCE) führen kann. Die Lücke wurde in der Version 6.0.28rc1, 6.4.13rc1 und 7.0.0beta2 behoben.
Zabbix ist ein weit verbreitetes Open-Source-Monitoring-Tool. Eine Sicherheitslücke im Audit-Log-Modul von Zabbix Server ermöglicht es Angreifern, SQL-Injection-Angriffe durchzuführen, indem sie das Feld „clientip“ manipulieren. Da dieses Feld nicht ordnungsgemäß validiert wird, kann es zur Einschleusung von SQL-Befehlen genutzt werden.
Details der Schwachstelle:
- CVE-ID: CVE-2024-22120
- CVSS-Score: 9.1 (Kritisch)
- CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
- Komponente: Server
- Betroffene Versionen: 6.0.0 - 6.0.27, 6.4.0 - 6.4.12, 7.0.0alpha1 - 7.0.0beta1
- Behobene Versionen: 6.0.28rc1, 6.4.13rc1, 7.0.0beta2
- Entdeckt von: Maxim Tyukov (mf0cuz) über die HackerOne-Plattform
Die Sicherheitslücke betrifft die Audit-Log-Funktion von Zabbix Server, die Befehle für konfigurierte Skripte ausführen kann. Nach der Ausführung eines Befehls wird ein Eintrag im Audit-Log hinzugefügt. Da das Feld „clientip“ nicht validiert wird, können Angreifer SQL-Befehle einschleusen und eine zeitbasierte SQL-Injection durchführen.
Angreifer können durch diese Schwachstelle beliebige Werte aus der Datenbank extrahieren und eine Rechteeskalation von einem normalen Benutzer zu einem Administrator durchführen. In einigen Fällen kann die SQL-Injection zur Ausführung von Remote-Code führen.
Schritte zur Reproduktion:
- Anmeldung als Benutzer mit niedrigen Rechten.
- Extraktion der „sessionid“ aus dem „zbx_session“-Cookie.
- Abrufen einer „hostid“, die für diesen Benutzer verfügbar ist.
- Ausführen des Exploit-Skripts „zabbix_server_time_based_blind_sqli.py“ mit den erforderlichen Parametern.
Zabbix hat die Schwachstelle in den Versionen 6.0.28rc1, 6.4.13rc1 und 7.0.0beta2 behoben. Ein sofortiges Update auf diese Versionen wird dringend empfohlen.