Altyapınız için güvenlik istihbaratı. Ubuntu Server, Windows Server, Proxmox VE, Plesk, FortiGate / FortiOS ve 6 platform daha
üzerindeki güvenlik açıklarını, kritik yamaları ve sürüm gelişmelerini tek ekranda izleyin. Doğrulanmış, önceliklendirilmiş ve uygulanabilir bilgiyle her zaman bir adım önde olun.
API erişimi olan düşük ayrıcalıklı bir Zabbix kullanıcısı include/classes/api/CApiService.php içindeki bir kör SQL enjeksiyonu zafiyetini sortfield parametresi aracılığıyla keyfi SQL SELECT sorguları çalıştırmak için kullanabilir. Sorgu sonuçları doğrudan döndürülmese de, saldırgan zaman-tabanlı tekniklerle veritabanından istenen verileri sızdırabilir; bu, oturum tanımlayıcılarının açığa çıkmasına ve yönetici hesabının ele geçirilmesine yol açabilir.
Ana bilgisayar ve olay eylem betiği girdisi regex ile (yönetici tarafından ayarlanır) doğrulanır, ancak doğrulama çok satırlı modda çalışır. Eğer kullanıcı girdisi doğrulamasında ^ ve $ bağlayıcıları kullanılıyorsa, enjekte edilmiş bir yeni satır kimliği doğrulanmış kullanıcıların kontrolü atlamasına ve kabuk komutları enjekte etmesine izin verir.
Performans nedenleriyle Zabbix Server/Proxy, JavaScript (Duktape) bağlamlarını (script öğeleri, JavaScript yeniden işlemesi, Webhooks) yeniden kullanır. Bu, normal (super olmayan) bir Zabbix yöneticisinin erişimi olmayan host'lar için verileri sızdırmasına ve gizlilik kaybına yol açabilir. Yerleşik Zabbix JavaScript nesnelerini salt okunur yapan bir düzeltme yayımlandı; ancak küresel JavaScript değişkenlerinin kullanımı önerilmez çünkü içerikleri sızdırılabilir.
Bir Zabbix yöneticisi, 'Visible name' alanına kötü amaçlı SQL yerleştirerek ana bilgisayarların otomatik kaldırılması sırasında rastgele SQL enjeksiyonu gerçekleştirebilir.
Takip ettiğiniz platformlarda çıkan güvenlik açıkları ve sürüm duyuruları her sabah tek e-postada. Hangi platformları izleyeceğinizi siz seçersiniz, istediğiniz an bırakırsınız.