2022-0574: Zabbix: Mehrere Schwachstellen ermöglichen Cross-Site-Scripting-Angriffe

Historie:

Version 1 (2022-03-14 12:58)

Neues Advisory

Version 2 (2022-04-12 17:44)

Die Schwachstellen werden in einem Sicherheitsupdate für 'zabbix' in Debian 9 Stretch (LTS) adressiert. Der durch CVE-2022-24918 verwundbare Programmcode wurde hier erst später eingeführt. Debian 9 ist von dieser Schwachstelle nicht betroffen.

Version 3 (2022-04-19 15:43)

Für SUSE Linux Enterprise Server 12 SP5 steht ein Sicherheitsupdate für 'zabbix' zur Behebung der Schwachstellen bereit.

Betroffene Software

Sicherheit

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um reflektierte Cross-Site-Scripting (XSS)-Angriffe durchzuführen. Für die Ausnutzung aller Schwachstellen sind übliche Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers und die Kenntnis vom aktuellen CSRF-Token des Benutzers oder generell erweiterte Kenntnisse der Zabbix-Infrastruktur.

Der Hersteller informiert über die Schwachstellen und stellt Zabbix 4.0.39, 5.0.21 und 6.0.1 als Sicherheitsupdates bereit.

Für Fedora 34 und 35 sowie Fedora EPEL 7 stehen Sicherheitsupdates für 'zabbix' auf Version 5.0.21 im Status 'testing' bereit. Zusätzlich wird Version 4.0.39 für Fedora EPEL 7 und 8 bereitgestellt. Auch diese Sicherheitsupdates befinden sich im Status 'testing'. Für Fedora EPEL 8 Modular wird 'zabbix' ebenfalls aktualisiert.

Schwachstellen:

CVE-2022-24349

Schwachstelle in Zabbix ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-24917

Schwachstelle in Zabbix ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-24918

Schwachstelle in Zabbix ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-24919

Schwachstelle in Zabbix ermöglicht Cross-Site-Scripting-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.