UCloud 率先实现zabbix高危漏洞自动检测 | U刻
  • UCloud 率先实现zabbix高危漏洞自动检测

    栏目:安全资讯

    zabbix_logo_500x131

    尊敬的UCloud用户:
    近日,zabbix被爆出两个高危SQL注入漏洞。UCloud 漏洞扫描系统(UWS)已经率先完成扫描规则更新,实现了对这个漏洞的检测,同时UCloud 数据库审计系统(UDAS)也可以实现在受到SQL注入攻击后进行追踪溯源。已经开通使用权限的用户,可在控制台看到漏洞的检查结果。
    权限申请地址:
    影响范围
    zabbix 2.2.x, 3.0.0-3.0.3(其他版本尚未测试)
    修复方案
    建议升级到最新版本 zabbix 3.0.4。
    漏洞详情
    zabbix jsrpc.php的profileIdx2参数和latest.php的toggle_ids参数均存在SQL注入,属于高危漏洞。在开启Guest或者无用户的情况下不需要登录即可实现注入(默认开启Guest,且Guest默认密码为空);未开启Guest和有用户的情况下则需要鉴权通过方可实现注入。攻击者可以完全获取数据库中信息,获取管理员身份,甚至控制服务器权限。
    参考链接