Zabbix SIA Zabbix 安全漏洞

CVE编号

CVE-2016-10742

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-02-18

漏洞描述

Zabbix SIA Zabbix是拉脱维亚Zabbix SIA公司的一套开源的监控系统。该系统支持网络监控、服务器监控、云监控和应用监控等。 Zabbix SIA Zabbix中存在安全漏洞。攻击者可借助‘request’参数利用该漏洞将用户重定向到外部的链接。以下版本受到影响：Zabbix SIA Zabbix 2.2.21rc1之前版本，3.0.13rc1之前的3.x 版本，3.1.x版本，3.2.10rc1之前的3.2.x版本，3.3.x版本，3.4.4rc1之前的3.4.x版本。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://lists.debian.org/debian-lts-announce/2019/03/msg00010.html
https://lists.debian.org/debian-lts-announce/2020/11/msg00039.html
https://support.zabbix.com/browse/ZBX-10272
https://support.zabbix.com/browse/ZBX-13133

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	zabbix	zabbix	*		Up to (including) 2.2.20
	运行在以下环境
	应用	zabbix	zabbix	*	From (including) 3.0.0	Up to (including) 3.0.12
	运行在以下环境
	应用	zabbix	zabbix	*	From (including) 3.1.0	Up to (including) 3.2.9
	运行在以下环境
	应用	zabbix	zabbix	*	From (including) 3.3.0	Up to (including) 3.4.3
	运行在以下环境
	系统	debian_8	zabbix	*		Up to (excluding) 1:2.2.23+dfsg-0+deb8u1
	运行在以下环境
	系统	debian_9	zabbix	*		Up to (excluding) 1:3.0.31+dfsg-0+deb9u1

阿里云评分 3.4

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-601 指向未可信站点的URL重定向（开放重定向）