CVE-2024-42330

Zabbix: niekodowane nagłówki HTTP umożliwiają dostęp do ukrytych właściwości obiektów

CVSS 9.1v3.1pub. 2024-11-27upd. 2025-11-03

Podatność w obiekcie HttpRequest w Zabbix pozwala na tworzenie wewnętrznych ciągów znaków z niezakodowanych danych zwróconych przez serwer. Umożliwia to atakującemu dostęp do ukrytych właściwości obiektów JavaScript, co może prowadzić do poważnych naruszeń bezpieczeństwa.

▸ Pokaż oryginał (EN)

The HttpRequest object allows to get the HTTP headers from the server's response after sending the request. The problem is that the returned strings are created directly from the data returned by the server and are not correctly encoded for JavaScript. This allows to create internal strings that can be used to access hidden properties of objects.

🤖 Analiza AI

Jak działa

Obiekt HttpRequest pobiera nagłówki HTTP z odpowiedzi serwera po wysłaniu żądania. Zwracane ciągi znaków są tworzone bezpośrednio z danych otrzymanych od serwera bez poprawnego kodowania dla kontekstu JavaScript (CWE-134 — format string). Dzięki temu możliwe jest tworzenie wewnętrznych ciągów, które mogą być użyte do uzyskania dostępu do ukrytych właściwości obiektów. Atakujący z uprawnieniami administracyjnymi może spreparować odpowiedź serwera zawierającą złośliwe dane w nagłówkach HTTP.

Skutki

Atakujący może uzyskać dostęp do ukrytych właściwości obiektów JavaScript w kontekście Zabbix, co w połączeniu z wysokim poziomem uprawnień wynikającym z zakresu podatności (Scope: Changed, C/I/A: High) może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://support.zabbix.com/browse/ZBX-25626). Użytkownicy dystrybucji Debian LTS powinni zastosować aktualizacje opisane w ogłoszeniu debian-lts-announce z grudnia 2024.

Kogo dotyczy

Produkty Zabbix — wersje wskazane w referencjach producenta (zgłoszenie ZBX-25626); podatność dotyczy również pakietów Debian LTS zgodnie z ogłoszeniem debian-lts-announce.