Исходное сообщение
"Уязвимость в системе мониторинга Zabbix" Отправлено opennews, 13-Авг-16 23:46
В обновлениях  системы мониторинга Zabbix  2.2.14 и 3.0.4 (http://www.zabbix.com/)  устранена уязвимость (http://seclists.org/fulldisclosure/2016/Aug/60), позволяющая выполнить SQL-код в СУБД и добиться выполнения произвольных команд на сервере и отслеживаемых хостах. В частности, через SQL-запрос можно получить права администратора Zabbix, который в зависимости от конфигурации может выполнять команды на хостах, отслеживаемых в Zabbix. Проблема вызвана (https://support.zabbix.com/browse/ZBX-11023) недостаточной проверкой допустимых значений параметра toggle_ids при обращении к странице latest.php. Атака возможна со стороны аутентифицированного пользователя или при включении гостевого входа без пароля. URL: http://seclists.org/fulldisclosure/2016/Aug/60 Новость: http://www.opennet.ru/opennews/art.shtml?num=44962