发布日期：2022-01-13
更新日期：2022-03-14

受影响系统：

ZABBIX Zabbix Frontend >= 5.4.0
ZABBIX Zabbix Frontend <= 5.4.8
ZABBIX Zabbix Frontend 6.0.0alpha1

描述：

---

CVE(CAN) ID: CVE-2022-23131

Zabbix Sia Zabbix是拉脱维亚Zabbix SIA（Zabbix Sia）公司的一套开源的监控系统。该系统支持网络监控、服务器监控、云监控和应用监控等。
Zabbix Frontend 6.0.0alpha1版本和5.4.0至5.4.8版本存在身份验证绕过漏洞，该漏洞源于启用SAML SSO身份认证（非默认）的情况下，未对存储在会话中的用户登录进行验证可导致恶意主体修改会话数据。未经身份认证的攻击者可利用该漏洞升级权限并获得Zabbix前端的管理员访问权限。

<*来源：Rostislav Palivoda
  
  链接：https://support.zabbix.com/browse/ZBX-20350
*>

建议：

---

厂商补丁：

ZABBIX
------
ZABBIX已经为此发布了一个安全公告（CVE-2022-23131）以及相应补丁:
CVE-2022-23131：Unsafe client-side session storage leading to authentication bypass / instance takeover via Zabbix Frontend with configured SAML (CVE-2022-23131)
链接：https://support.zabbix.com/browse/ZBX-20350

浏览次数：690
严重程度：0（网友投票）