CVE-2022-23134
Zabbix Frontend Improper Access Control Vulnerability
Beschreibung
CVE-2022-23134 ist eine Schwachstelle mit dem Schweregrad LOW für unsachgemäße Zugriffskontrolle im Zabbix Frontend, die die Versionen 5.4.0 bis 5.4.8 und 6.0.0 betrifft. Die Schwachstelle ermöglicht es nicht authentifizierten bösartigen Akteuren, Schritt-Prüfungen im initialen Setup-Prozess zu umgehen und potenziell die Konfiguration des Zabbix Frontend zu ändern, einschließlich der Modifikation von Datenbankverbindungseinstellungen. Mit einem CVSS-3.1-Score von 3,7 und einem bemerkenswert hohen EPSS-Score von 0,93119 (99,8. Perzentile) zeigt diese Schwachstelle eine auffällige Diskrepanz zwischen ihrem niedrigen CVSS-Schweregrad und der extrem hohen realen Ausnutzungsaktivität. CVE-2022-23134 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 8. März 2022 gelistet, wobei keine Ransomware-Assoziation dokumentiert ist. Die Schwachstelle ist unter CWE-284 (Improper Access Control) und CWE-287 (Improper Authentication) klassifiziert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zabbix | zabbix | >= 5.4.0, <= 5.4.8; 6.0.0 |
| fedoraproject | fedora | 34; 35 |
| debian | debian linux | 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Referenzen
- https://lists.debian.org/debian-lts-announce/2022/02/msg00008.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6SZYHXINBKCY42ITFSNCYE7KCSF33VRA/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VB6W556GVXOKUYTASTDGL3AI7S3SJHX7/(Release Notes)
- https://support.zabbix.com/browse/ZBX-20384(Issue Tracking, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-23134(US Government Resource)
Schwachstellentyp
CWE-284: Unsachgemäße Zugriffskontrolle / CWE-287: Unsachgemäße Authentifizierung
Unsachgemäße Zugriffskontrolle (CWE-284) tritt auf, wenn Software den Zugriff auf Ressourcen durch unautorisierte Akteure nicht ordnungsgemäß einschränkt. Diese breite Kategorie umfasst Authentifizierungsumgehung, Autorisierungsumgehung und unsachgemäße Durchsetzung von Zugriffsrichtlinien. Ordnungsgemäße Zugriffskontrolle umfasst die Bestimmung, wer auf welche Ressourcen zugreifen und welche Aktionen ausführen kann. Unsachgemäße Authentifizierung (CWE-287) tritt auf, wenn eine Anwendung nicht oder unzureichend beweist, dass die behauptete Identität eines Benutzers korrekt ist, einschließlich umgehbarer Authentifizierungslogik und fehlender Authentifizierungsprüfungen an kritischen Endpunkten.
Bei CVE-2022-23134 kann auf die Setup-Seite (setup.php) des Zabbix Frontend von nicht authentifizierten Benutzern zugegriffen werden, nachdem die Erstinstallation abgeschlossen wurde. Im Normalbetrieb sollte der Setup-Assistent nur während der Erstkonfiguration zugänglich sein und für jeden weiteren Zugriff eine Authentifizierung erfordern. Die verwundbaren Versionen erzwingen jedoch keine ordnungsgemäße Zugriffskontrolle bei der Schritt-Validierung der Setup-Seite, wodurch ein nicht authentifizierter Angreifer direkt zu Konfigurationsschritten navigieren kann, die eigentlich eingeschränkt sein sollten. Dies ermöglicht die Modifikation der Zabbix-Frontend-Konfiguration, am kritischsten der Datenbankverbindungsparameter. Erfahren Sie mehr über CWE-284 bei turingsecure.com und CWE-287 bei turingsecure.com.
Auswirkungsanalyse
CVE-2022-23134 hat einen CVSS-3.1-Score von 3,7 (LOW) mit unverändertem Scope, was das reale Risiko erheblich unterschätzt, wie der extrem hohe EPSS-Score belegt.
Vertraulichkeit (None): Die CVSS-Bewertung stuft die Vertraulichkeitsauswirkung als None ein, da die Schwachstelle selbst keine Daten direkt offenlegt. Die praktische Vertraulichkeitsauswirkung kann jedoch schwerwiegend sein, wenn die Ausnutzung mit weiteren Angriffen verkettet wird. Durch Umleitung der Zabbix-Datenbankverbindung zu einem vom Angreifer kontrollierten Server kann der Angreifer über das Frontend übermittelte Authentifizierungsdaten abfangen und so Zugang zu Monitoring-Daten der gesamten Infrastruktur erlangen.
Integrität (Low): Die direkte Integritätsauswirkung wird als Low bewertet, da die Schwachstelle die Modifikation der Zabbix-Frontend-Konfiguration ermöglicht. Die Möglichkeit, Datenbankverbindungseinstellungen zu ändern, stellt jedoch ein erhebliches Integritätsrisiko dar. Ein Angreifer kann das Frontend auf eine bösartige Datenbank umleiten, wodurch er gefälschte Monitoring-Daten einschleusen, echte Alarme unterdrücken oder das Verhalten der Anwendung manipulieren kann.
Verfügbarkeit (None): Die CVSS-Bewertung stuft die Verfügbarkeitsauswirkung als None ein. Die Umkonfiguration der Datenbankverbindung kann das Zabbix-Monitoring-System jedoch effektiv außer Betrieb setzen und einen Monitoring-Blindspot in der gesamten Infrastruktur erzeugen. Der Verlust der Monitoring-Sichtbarkeit ist eine indirekte, aber schwerwiegende Verfügbarkeitsauswirkung, da er weitere Angriffe unentdeckt ermöglicht.
Scope (Unchanged): Der Scope ist unverändert, da die Auswirkung auf die Zabbix-Frontend-Komponente beschränkt ist. Trotz des niedrigen CVSS-Scores zeigt der EPSS-Score von 0,93119 in der 99,8. Perzentile, dass diese Schwachstelle zu den am aktivsten angegriffenen in der Praxis gehört, wahrscheinlich weil Zabbix-Instanzen häufig aus dem Internet erreichbar sind und die Ausnutzung keine Authentifizierung erfordert.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2022-23134 wird nachweislich aktiv in der Praxis ausgenutzt, wie die Aufnahme in den CISA Known Exploited Vulnerabilities (KEV) Katalog am 22. Februar 2022 belegt. Trotz des niedrigen CVSS-Scores von 3,7 ist die Schwachstelle trivial über das Netzwerk von nicht authentifizierten Angreifern ausnutzbar, was sie zu einem attraktiven Ziel für automatisierte Scanning- und Ausnutzungskampagnen macht.
Ransomware-Bezug: Der CISA-KEV-Katalog weist keine bekannte Ransomware-Assoziation für CVE-2022-23134 aus. Die Kompromittierung eines Monitoring-Systems wie Zabbix liefert Angreifern jedoch detaillierte Infrastruktur-Intelligence, die nachfolgende Ransomware-Einsätze erleichtern kann, indem Netzwerktopologie, Systeminventar und Monitoring-Lücken offengelegt werden.
Öffentliche Exploits: Die Schwachstellendetails sind im Zabbix-Support-Portal (ZBX-20384) sowie in Sicherheitshinweisen von Debian und Fedora dokumentiert. Die Ausnutzungstechnik ist unkompliziert — direkter Zugriff auf die setup.php-Seite ohne Authentifizierung — was sie auch für wenig versierte Bedrohungsakteure zugänglich macht.
EPSS-Kontext: Der EPSS-Score von 0,93119 in der 99,8. Perzentile ist bemerkenswert hoch für eine Schwachstelle mit einem CVSS-Score von nur 3,7 und hebt die erhebliche Kluft zwischen theoretischen Schweregrad-Bewertungen und tatsächlichen Ausnutzungsmustern hervor.
KEV-Behebungsfrist: CISA setzte eine ungewöhnlich kurze Behebungsfrist auf den 8. März 2022, nur 14 Tage nach dem Katalog-Aufnahmedatum vom 22. Februar 2022, was die Dringlichkeit der aktiven Ausnutzungsbedrohung widerspiegelt.
Behebung
-
Zabbix auf die neueste gepatchte Version aktualisieren. Aktualisieren Sie das Zabbix Frontend auf Version 5.4.9 oder höher (für den 5.4-Branch) oder Version 6.0.1 oder höher (für den 6.0-Branch). Befolgen Sie die offizielle Zabbix-Upgrade-Anleitung für einen reibungslosen Update-Prozess ohne Datenverlust.
-
Netzwerkzugriff auf das Zabbix Frontend einschränken. Stellen Sie sicher, dass die Zabbix-Weboberfläche nicht direkt aus dem Internet erreichbar ist. Platzieren Sie sie hinter einem VPN, Reverse-Proxy mit Authentifizierung oder einer Firewall, die den Zugriff auf autorisierte Netzwerke und IP-Adressen beschränkt. Zabbix-Monitoring-Dashboards sollten niemals öffentlich zugänglich sein.
-
Direkten Zugriff auf setup.php über Webserver-Konfiguration blockieren. Als sofortige Minderungsmaßnahme konfigurieren Sie Ihren Webserver (Apache, Nginx), um den Zugriff auf die Datei
setup.phpnach Abschluss der Erstinstallation zu verweigern. Für Nginx:location = /setup.php { deny all; }. Für Apache:<Files setup.php> Require all denied </Files>. Dies verhindert die Ausnutzung, auch wenn das Zabbix-Update nicht sofort angewendet werden kann. -
Zabbix-Konfigurationsintegrität überprüfen. Überprüfen Sie nach dem Update die Zabbix-Frontend-Konfigurationsdatei (
zabbix.conf.php), um sicherzustellen, dass Datenbankverbindungsparameter nicht manipuliert wurden. Vergleichen Sie die Konfiguration mit bekannten guten Backups und bestätigen Sie, dass Datenbankserver-Adresse, Port und Anmeldedaten auf die legitime Zabbix-Datenbank verweisen. -
Webserver-Zugriffsprotokolle auf Ausnutzungsversuche prüfen. Überprüfen Sie Webserver-Protokolle auf Anfragen an
setup.phpvon unerwarteten IP-Adressen oder zu ungewöhnlichen Zeiten. Jeglicher Zugriff auf die Setup-Seite nach der Erstinstallation kann auf Ausnutzungsversuche hindeuten. Untersuchen Sie Konfigurationsänderungen, die während des Zeitraums der ungepatchten Schwachstelle auftraten. -
Web Application Firewall (WAF) Regeln implementieren. Setzen Sie WAF-Regeln ein, um Anfragen zu blockieren, die auf den Zabbix-Setup-Endpunkt abzielen. Konfigurieren Sie Alarmierungen für Zugriffsversuche auf den setup.php-URL-Pfad, um eine schnelle Erkennung und Reaktion auf zukünftige Ausnutzungsversuche gegen die Zabbix-Infrastruktur zu ermöglichen.
Technische Details
CVE-2022-23134 ist eine Zugriffskontroll-Umgehungsschwachstelle in der Zabbix-Frontend-Webanwendung, die die Versionen 5.4.0 bis 5.4.8 und Version 6.0.0 betrifft. Die Schwachstelle existiert in der Datei setup.php, die den Zabbix-Erstkonfigurations-Assistenten implementiert. Dieser Assistent führt Administratoren durch den Setup-Prozess einschließlich Datenbankverbindungskonfiguration, Serverdetails und GUI-Einstellungen.
Im Normalbetrieb sollte der Setup-Assistent nur während der Erstinstallation von Zabbix zugänglich sein. Sobald die Installation abgeschlossen und eine Konfigurationsdatei geschrieben wurde, sollte die Setup-Seite entweder entfernt oder durch Authentifizierung geschützt werden. In den betroffenen Versionen versäumt die Setup-Seite jedoch die ordnungsgemäße Validierung, ob die Installation abgeschlossen wurde, und erzwingt keine Authentifizierung für nachfolgenden Zugriff auf die Konfigurationsschritte.
Der CVSS-3.1-Vektor (AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N) weist einen Netzwerk-Angriffsvektor ohne erforderliche Privilegien und ohne Benutzerinteraktion zu, bewertet die Angriffskomplexität jedoch als High. Diese High-Komplexitätsbewertung berücksichtigt, dass die Ausnutzung spezifische Bedingungen erfordert — der Angreifer muss die Zabbix-Instanz-URL kennen oder entdecken. Die praktische Angriffskomplexität ist jedoch deutlich niedriger als die CVSS-Bewertung suggeriert, da Zabbix-Instanzen durch Internet-Scanning häufig auffindbar sind und der setup.php-Pfad deterministisch ist.
Der kritischste Ausnutzungspfad beinhaltet die Navigation zum Datenbankonfigurationsschritt und die Änderung der Datenbankserver-Adresse zu einem angreifergesteuerten System. Dies ermöglicht dem Angreifer die Umleitung aller Datenbankabfragen vom Zabbix Frontend zu seinem eigenen Server. Die Grundursache ist eine fehlende Authentifizierungsprüfung im Setup-Seiten-Controller, die überprüfen sollte, ob der aktuelle Benutzer ein authentifizierter Administrator ist, bevor Konfigurationsänderungen zugelassen werden.
Häufig gestellte Fragen
Was ist CVE-2022-23134?
CVE-2022-23134 ist eine Zugriffskontroll-Umgehungsschwachstelle in der Zabbix-Frontend-Weboberfläche, die nicht authentifizierten Angreifern den Zugriff auf den Setup-Assistenten und die Modifikation der Anwendungskonfiguration ermöglicht. Sie betrifft Zabbix-Versionen 5.4.0 bis 5.4.8 und Version 6.0.0. Trotz ihres niedrigen CVSS-Scores von 3,7 hat die Schwachstelle einen EPSS-Score von 0,93119 (99,8. Perzentile), was auf extrem hohe Ausnutzungsaktivität hinweist, und ist im CISA-KEV-Katalog gelistet.
Warum hat CVE-2022-23134 trotz niedrigem CVSS-Score einen so hohen EPSS-Score?
Die Diskrepanz zwischen dem niedrigen CVSS-3.1-Score (3,7) und dem extrem hohen EPSS-Score (99,8. Perzentile) spiegelt eine Kluft zwischen theoretischem Schweregrad und realen Ausnutzungsmustern wider. Die Schwachstelle erfordert keine Authentifizierung, zielt auf netzwerkzugängliche Monitoring-Infrastruktur ab und kann mit einfachen HTTP-Anfragen ausgenutzt werden, was sie ideal für automatisierte Scanning-Kampagnen macht. Zabbix-Instanzen sind häufig aus dem Internet erreichbar und bieten eine große Angriffsfläche.
Was kann ein Angreifer durch Ausnutzung von CVE-2022-23134 tun?
Durch Ausnutzung von CVE-2022-23134 kann ein nicht authentifizierter Angreifer auf den Zabbix-Frontend-Setup-Assistenten zugreifen und die Anwendungskonfiguration modifizieren, einschließlich der Datenbankverbindungseinstellungen. Dies ermöglicht die Umleitung des Zabbix Frontend auf eine angreifergesteuerte Datenbank, das Abfangen von Authentifizierungsdaten, das Einschleusen falscher Monitoring-Daten und die Unterdrückung legitimer Alarme. Die Kompromittierung eines Monitoring-Systems liefert auch detaillierte Infrastruktur-Intelligence.
Wie schütze ich meine Zabbix-Installation vor CVE-2022-23134?
Aktualisieren Sie Zabbix auf Version 5.4.9 oder höher (5.4-Branch) bzw. 6.0.1 oder höher (6.0-Branch). Als sofortige Minderung blockieren Sie den Zugriff auf setup.php in Ihrer Webserver-Konfiguration. Stellen Sie sicher, dass das Zabbix Frontend nicht direkt aus dem Internet erreichbar ist. Überprüfen Sie Ihre Zabbix-Konfigurationsdatei, um sicherzustellen, dass Datenbankverbindungsparameter nicht manipuliert wurden, und prüfen Sie Webserver-Protokolle auf verdächtigen Zugriff auf die Setup-Seite.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.