Zabbix Frontend の認証回避の脆弱性（CVE-2022-23131）

何が起きた

監視ツール Zabbix の Web 画面（Frontend）で、SAML を使ったシングルサインオンを有効にしている場合に、ログイン情報を入れておくセッションのデータが確かめられていない弱点が見つかりました。ログインしていない攻撃者がこのデータを書き換えることで、権限を上げて Zabbix Frontend の管理者として入れる可能性があります。NVD の評価では、ネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SAML 認証を有効にして Zabbix Frontend を使っている組織が対象です（SAML 認証は初期設定では無効です）。攻撃には Zabbix の利用者名を知っているか、初期設定では無効のゲストアカウントが有効になっている必要があります。Zabbix の案内では、影響を受けるのは 5.4.0 から 5.4.8 と、開発版の 6.0.0alpha1 です。

何をすればいい

Zabbix の案内に従い、5.4.9 以降に更新されているか確認してください。すぐに更新できない場合、Zabbix は回避策として SAML 認証を無効にするよう案内しています。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Zabbix Frontend を 5.4.9 以降に更新する
• すぐ更新できなければ SAML 認証を無効にする
• 開発版の 6.0 系を使っていれば修正版に替える

用語メモ

SAML 用語集で見る

別のサービスでのログイン結果を使ってログインできるようにする仕組みの一つで、シングルサインオンによく使われます。

シングルサインオン

一度のログインで、複数のサービスを使えるようにする仕組みです。

セッション 用語集で見る

ログインした人を、操作のあいだ見分けるために保存しておく情報のことです。

ゲストアカウント

決まった人ではなく、誰でも使える来客用のアカウントです。