CVE-2024-22116

Zabbix: RCE przez brak escapowania parametrów skryptu Ping

CVSS 9.9v3.1pub. 2024-08-12upd. 2025-11-03

Administrator z ograniczonymi uprawnieniami może wykonać dowolny kod na serwerze Zabbix poprzez sekcję Monitoring Hosts, wykorzystując lukę w obsłudze parametrów skryptu Ping. Podatność umożliwia pełne przejęcie infrastruktury monitorowanej przez Zabbix.

▸ Pokaż oryginał (EN)

An administrator with restricted permissions can exploit the script execution functionality within the Monitoring Hosts section. The lack of default escaping for script parameters enabled this user ability to execute arbitrary code via the Ping script, thereby compromising infrastructure.

🤖 Analiza AI

Jak działa

Funkcjonalność wykonywania skryptów w sekcji Monitoring Hosts nie stosuje domyślnego escapowania parametrów przekazywanych do skryptów. Zalogowany administrator z ograniczonymi uprawnieniami może zmodyfikować parametry skryptu Ping w taki sposób, aby wstrzyknąć i wykonać dowolne polecenia systemowe (command injection). Brak sanityzacji danych wejściowych pozwala na przekazanie złośliwego payload'u, który jest następnie interpretowany i uruchamiany przez system.

Skutki

Atakujący może wykonać dowolny kod na serwerze Zabbix, co prowadzi do pełnego przejęcia systemu — utraty poufności, integralności i dostępności danych oraz całej monitorowanej infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy dystrybucji Debian powinni sprawdzić aktualizacje bezpieczeństwa ogłoszone na liście debian-lts-announce (październik 2024). Zaleca się również ograniczenie liczby kont z uprawnieniami administracyjnymi do niezbędnego minimum.