- Aktif istismar
- Yama var
- CWE-290
CVE-2022-23131
Zabbix Frontend SAML kimlik doğrulamasında oturum doğrulama eksikliği ve yönetici erişimi
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1749 gün
- Kaydı açan
- Zabbix
Yönetici özeti
SAML ile giriş kullanan Zabbix izleme sistemlerinde, saldırgan şifre bilmeden yönetici yetkisi kazanabilir. Açık aktif olarak istismar edildiği bilindiğinden acil olarak güncelleme yapılmalıdır. Güncelleme hemen mümkün değilse SAML girişi geçici olarak kapatılmalıdır.
ÖzetTürkçe
SAML SSO kimlik doğrulaması etkinleştirilmiş Zabbix Frontend kurulumlarında (varsayılan olarak kapalıdır), oturumda saklanan kullanıcı girişi doğrulanmadığı için oturum verisi kötü niyetli kişilerce değiştirilebilir. Saldırganın bir Zabbix kullanıcısının adını bilmesi veya varsayılan olarak devre dışı olan guest hesabını kullanabilmesi gerekir. Etkilenen sürümler Zabbix Frontend 5.4.0 ile 5.4.8 arasındadır; 5.4.9 ve üzeri etkilenmez. Açık CISA KEV listesinde yer almakta olup aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan yetkisini yükselterek Zabbix Frontend üzerinde yönetici erişimi elde edebilir ve kurulumu ele geçirebilir. Bu durum izleme verilerinin ve yapılandırmanın gizliliğini ve bütünlüğünü ciddi biçimde tehlikeye atar.
Kaynaktaki açıklama (İngilizce)
In the case of instances where the SAML SSO authentication is enabled (non-default), session data can be modified by a malicious actor, because a user login stored in the session was not verified. Malicious unauthenticated actor may exploit this issue to escalate privileges and gain admin access to Zabbix Frontend. To perform the attack, SAML authentication is required to be enabled and the actor has to know the username of Zabbix user (or use the guest account, which is disabled by default).
Üreticinin çözüm notu (İngilizce)
To remediate this vulnerability, install the updates or if an immediate update is not possible, follow the presented workarounds.
Üreticinin geçici önlemi (İngilizce)
Disable SAML authentication
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Zabbix Frontend'i düzeltilmiş sürüm olan 5.4.9 veya daha yeni bir sürüme güncelleyin. Üretici
- Hemen güncelleme yapılamıyorsa geçici çözüm olarak SAML kimlik doğrulamasını devre dışı bırakın. Üretici
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
Ek önlemler
- Guest hesabının devre dışı kalmaya devam ettiğini doğrulayın ve kullanılmayan hesapları kaldırın. Genel öneri
- Zabbix Frontend arayüzüne erişimi güvenilir ağlar, VPN veya IP kısıtlamalarıyla sınırlandırın. Genel öneri
- Yönetici hesaplarının son girişlerini ve yapılandırma değişikliklerini inceleyerek olası ele geçirilme belirtilerini kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zabbix Frontend | ≥ 5.4.0, ≤ 5.4.8 | – |
| ≥ 5.4.9 Etkilenmiyor | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.