آسیب پذیری SQL Injection در تابع addRelatedObjects نسخه هایی از Zabbix

چکیده

آسیب پذیری مربوط به نسخه های 6.0.31، 6.4.16، 7.0.1  Zabbix  پیدا شده است که در دسته بندی بحرانی قرار دارد. این مشکل بر عملکرد تابع addRelatedObjects المان API اثر می گذارد. این حمله ممکن است از راه دور قابل انجام باشد. اکسپلویتی در این زمینه ارائه نشده است.

توضیحات

سیستم متن باز مانیتورینگ شبکه و برنامه های تحت شبکه سازمانی Zabbix  در خصوص آسیب پذیری که کل سیستم را در معرض خطر قرار می دهد، به کاربران هشدار داده است.

این اعلامیه که با شناسه CVE-2024-42327 منتشر شده است، مربوط به نقصی است که امکان SQL Injection را فراهم کرده است.  یک کاربر با حساب غیر ادمین بر روی پلتفرم frontend Zabbix  در نقش کاربر default یا

حتی کاربرانی که تنها به API  دسترسی دارند می توانند از این آسیب پذیری بهره ببرند.

در تابع addRelatedObjects  کلاس CUser  یک SQLi وجود دارد. این تابع از روی تابع CUser.get که برای همه کاربران با دسترسی  API در دسترس است، فراخوانی می شود. این آسیب پذیری بر روی محرمانگی، جامعیت و دسترس پذیری سیستم اثرگذار خواهد بود.

کد زیر مربوط به نسخه 6.0.31 نسبت به SQLi  آسیب پذیر است:

$db_roles = DBselect(        ‘SELECT u.userid’.($options[‘selectRole’] ? ‘,r.’.implode(‘,r.’, $options[‘selectRole’]) : ”).        ‘ FROM users u,role r’.        ‘ WHERE u.roleid=r.roleid’.        ‘ AND ‘.dbConditionInt(‘u.userid’, $userIds));

فراخوانی زیر آسیب پذیری فوق را فعال می کند:

POST /api_jsonrpc.php HTTP/1.1Host: localhostUser-Agent: curl/8.11.0Accept: */*Content-Type: application/jsonContent-Length: 222Connection: keep-alive {  “jsonrpc”: “2.0”,  “method”: “user.get”,  “params”: {    “selectRole”: [“roleid”, “name”, “type”, “readonly AND (SELECT(SLEEP(5)))”],    “userids”: [“1″,”2”]  },  “id”: 1,  “auth”: “”}

این پروژه که هزاران کاربر فعال در سرتاسر جهان دارد، توضیح داده است که سطوح این حمله نه تنها ممکن است خیلی وسیع باشد بلکه ممکن است تاثیر زیادی بر روی سازمان های بزرگ شناخته شده داشته باشد. سازمان FBI  و CISA این نقص را در رده آسیب پذیری های “غیرقابل بخشش” قرار داده اند. از آنجایی که SQL Injection از دهه ها قبل شناخته شده بود و اکسپلویت کردن این آسیب پذیری کار چندان پیچیده ای نبود، انتظار می رفت که این دست آسیب پذیری ها خیلی وقت پیش توسط توسعه دهندگان این پلتفرم شناسایی شده و رفع میشد.

سیستم امتیاز دهی آسیب پذیری ها بر اساس استاندارد های تحقیقاتی حوزه نمره دهی به آسیب پذیری ها، امتیازات زیر را برای شدت اثرگذاری این آسیب پذیری در نظر گرفته است.

محصولات آسیب پذیر

در زمان انتشار این اعلامیه، محصولات زیر در معرض این آسیب پذیری قرار دارند:

• 0.0- 6.0.31
• 4.0 – 6.4.16
• 0.0 – 7.0.1

نرم افزار اصلاح شده

به منظور رفع این آسیب پذیری بهتر است نسخه فعلی را مطابق جدول زیر به نسخه های اعلام شده ارتقا دهید.

نتیجه گیری

آسیب پذیری فوق در دسته آسیب پذیری ها بحرانی (Critical) دسته بندی می شود. محصول همه یا بخشی از دستور SQL  را با کمک ورودی خارجی از یک المان upstream دریافت می کند، اما به درستی یا به طور کامل آنر را پاکسازی نمی کند. پیشنهاد می شود به منظور جلوگیری از قرار گرفتن در معرض آسیب های احتمالی، المان در معرض آسیب را به نسخه های بالاتر ارتقا دهید.

منابع

1. https://support.zabbix.com/browse/ZBX-25623
2. https://www.theregister.com/2024/11/29/zabbix_urges_upgrades_after_critical/
3. https://github.com/compr00t/CVE-2024-42327
4. https://github.com/aramosf/cve-2024-42327
5. https://vulmon.com/vulnerabilitydetails?qid=CVE-2024-42327&sortby=bydate
6. https://www.cve.org/CVERecord?id=CVE-2024-42327
7. https://www.cvedetails.com/cve/CVE-2024-42327/
8. https://vuldb.com/?id.286249
9. https://vulmon.com/vendoradvisory?qidtp=debian_cvelist_bugreportlogs&qid=382068802633ec31f84afcc8b4e3b10a
10. https://cwe.mitre.org/data/definitions/89.html
11. https://cwe.mitre.org/data/definitions/74.html
12. https://cwe.mitre.org/data/definitions/707.html