Actief aangevallen lek in Zabbix-servers maakt overnemen netwerken mogelijk
Aanvallers maken op dit moment actief misbruik van kwetsbaarheden in Zabbix om servers waarop de monitoringsoplossing draait over te nemen. Iets wat grote gevolgen voor bedrijven en organisaties kan hebben, aangezien het volledige overname van netwerken mogelijk maakt.
Zabbix is een oplossing voor het monitoren van de it-infrastructuur, zoals netwerken, servers, virtual machines en clouddiensten. Het is vergelijkbaar met oplossingen als Pandora FMS en Nagios. Vanwege de populariteit, features en rol in het netwerk is Zabbix een aantrekkelijk doelwit voor aanvallers, aldus securitybedrijf SonarSource. Het bedrijf ontdekte een kritieke kwetsbaarheid in de monitoringsoplossing waardoor aanvallers beheerderstoegang tot de Zabbix-server kunnen krijgen en zelfs volledige netwerken kunnen overnemen.
Op Zabbix-servers waar SAML SSO-authenticatie is ingeschakeld, wat niet standaard is, is het mogelijk voor aanvallers om de authenticatie te omzeilen en beheerder te worden. Dit wordt veroorzaakt door een onveilige manier waarop Zabbix op clients sessiedata opslaat. "De authenticiteit van de sessie wordt nooit gevalideerd wanneer andere velden dan sessionid worden benaderd. Aangezien cookies volledig worden beheerd door clients, hebben ze gewoon controle over de sessie", aldus de onderzoekers.
Naast het feit dat SAML SSO-authenticatie moet zijn ingeschakeld, dient de aanvaller ook de gebruikersnaam van een Zabbix-gebruiker te weten. Dat is volgens de onderzoekers geen probleem, aangezien de Zabbix-frontend standaard met een Admin-gebruiker wordt geconfigureerd. De impact van de kwetsbaarheid, aangeduid als CVE-2022-23131, is op een schaal van 1 tot en met 10 met een 9.1 beoordeeld.
Zodra aanvallers als beheerder op de Zabbix-server zijn ingelogd kunnen ze niet alleen willekeurige code op de Zabbix-server uitvoeren, maar ook op alle clients waarop de agent draait. Dit is de software waarmee Zabbix andere systemen monitort. Het uitvoeren van code via de agent zou wel moeten zijn geconfigureerd, wat standaard niet het geval is. Een andere mogelijkheid om clients via de agent aan te vallen is via een andere kwetsbaarheid in de Zabbix-software (CVE-2021-46088).
SonarSource ontdekte ook een tweede probleem (CVE-2022-23134) waardoor het bestand setup.php niet alleen toegankelijk is voor super-administrators, maar ook voor ongeauthenticeerde gebruikers. Daardoor is het mogelijk om configuratiebestanden te overschrijven, ook al draait de Zabbix Web Frontend al. Door de configuratie naar een malafide database te laten wijzen kunnen aanvallers zo toegang tot het Zabbix-dashboard krijgen.
De kwetsbaarheden werden op 18 november vorig jaar aan Zabbix gerapporteerd. Op 14 december verscheen een update, maar die bleek de problemen niet te verhelpen en kon worden omzeild. Op 22 december deed Zabbix een tweede poging die wel afdoende bleek. Op 29 december bracht het bedrijf een advisory uit. SonarSource publiceerde op 16 februari de details van beide kwetsbaarheden.
Gisteren waarschuwde het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security voor actief misbruik van beide kwetsbaarheden en heeft federale overheidsinstanties in de VS verplicht de updates voor 8 maart te installeren.
Als je niet de intelligentie hebt om te kunnen bedenken dat dat niet efficient is, hoe kan je dan met dezelfde intelligentie een veilig product neerzetten.
Als je niet de intelligentie hebt om te kunnen bedenken dat dat niet efficient is, hoe kan je dan met dezelfde intelligentie een veilig product neerzetten.
Ik weet nog dat er auto’s waren die hout als brandstof gebruiken.
Ofwel, klets niet zo. Overal worden fouten gemaakt, belangrijk is dat je er van leert en steeds beter wordt.
Als je niet de intelligentie hebt om te kunnen bedenken dat dat niet efficient is, hoe kan je dan met dezelfde intelligentie een veilig product neerzetten.
Ofwel, klets niet zo. Overal worden fouten gemaakt, belangrijk is dat je er van leert en steeds beter wordt.
Toch kan dat niet de motivatie zijn om een kleuter achter het stuur van een bus te zetten. Je "dan leer je dat vanzelf wel" houding heeft zijn beperkingen.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Maar wel een slechte dat men meerdere keren nodig had om dit te fixen.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Maar wel een slechte dat men meerdere keren nodig had om dit te fixen.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Maar wel een slechte dat men meerdere keren nodig had om dit te fixen.
Nogal vaak heb je hoge rechten nodig _om_ allerlei systeem parameters uit te lezen .
du -sh /home/
logfiles van allerlei daemons lezen .
Als je niet de intelligentie hebt om te kunnen bedenken dat dat niet efficient is, hoe kan je dan met dezelfde intelligentie een veilig product neerzetten.
Ik weet nog dat er auto’s waren die hout als brandstof gebruiken.
Ik geloof je niet , dat je dat hebt meegemaakt.
Verder: dat is geen excuus om _vandaag_ een houtgas auto te lanceren.
Evenmin als het een excuus is om een wereldwijd bereikbare telnet server te draaien, of een mail relay server voor de wereld te draaien.
Of een monolitische mail daemon met turing complete configuratie taal als root te laten draaien .
Er was een tijd dat dat kon - en de norm was .
Die tijd is voorbij - en dat kun je weten als je vandaag begint.
Zelf de redenen ontdekken waarom het niet meer kan is niet prijzenswaardig, maar gewoon dom.
Ofwel, klets niet zo. Overal worden fouten gemaakt, belangrijk is dat je er van leert en steeds beter wordt.
Klets jij niet zo . Het idee is dat als je nu begint dat je (al) geleerd hebt van fouten van je VOORGANGERS.
Standing on the shoulders of giants geeft meer vooruitgang dan wanneer iedereen op de grond begint.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Maar wel een slechte dat men meerdere keren nodig had om dit te fixen.
Ik gebruik zelf geen zabbix maar nagios en daar heb ik ingesteld dat op de client alleen de geïnstalleerde local agent kan worden aangeroepen (dus niet willekeurige code). Daar kan dus weinig gebeuren behalve proberen plat te krijgen door die agent continue aan te roepen vanuit de server
Op de server kan het in principe ook weinig uithalen met zabbix user rechten. Makkelijk te fixen.
Maar wel een slechte dat men meerdere keren nodig had om dit te fixen.
Nogal vaak heb je hoge rechten nodig _om_ allerlei systeem parameters uit te lezen .
du -sh /home/
logfiles van allerlei daemons lezen .
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
