【更新】Zabbix 远程代码执行漏洞（CVE-2020-11800）
漏洞名称 : Zabbix 远程代码执行漏洞CVE-2020-11800
威胁等级 : 高危
影响范围 : Zabbix 2.2.18 - 2.2.23
Zabbix 3.0 - 3.0.30
Zabbix 3.2 - 3.2.11漏洞类型 : 远程代码执行
利用难度 : 高
漏洞分析
1 组件介绍
Zabbix是一个基于WEB界面的分布式系统监视以及网络监视的企业级开源解决方案。Zabbix能监视各种网络参数，保证服务器系统的安全运营，并提供灵活的通知机制以便系统管理员快速定位和解决存在的各种问题。它由两部分构成，Zabbix Server与可选组件Zabbix Agent。Zabbix server可以通过SNMP，Zabbix Agent，ping，端口监视等方法提供对远程服务器/网络状态的监视，数据收集等功能，它可以运行在Linux，Solaris，HP-UX，AIX，Free BSD，Open BSD，OS X等平台上。
2 漏洞描述
2020年10月9日，Zabbix官方发布了Zabbix远程代码执行漏洞的风险通告，该漏洞编号为CVE-2020-11800，漏洞等级定义为高危。Zabbix proxy 3.0 - 3.0.31版本和Zabbix server 3.0 - 3.0.31版本中存在安全漏洞。攻击者可利用该漏洞执行任意命令。2021年1月11日，该漏洞细节在网上披露。
该漏洞是由于对Zabbix远程代码执行漏洞CVE-2017-2824修复不完整导致的。当管理员将Event source设为Auto registration，且添加Add Hosts的操作到Actions里时。任何人都可以通过Trapper命令添加任意主机，并且由于缺乏过滤，主机IP后可以拼接命令。Zabbix服务器接收添加的主机后，攻击者通过请求对应的Host ID的自带监控命令，可以执行拼接在IP后的命令。官方对CVE-2017-2824漏洞的修复方式是对IP添加了过滤，CVE-2020-11800漏洞是由于在IPv6过滤方式上出现了绕过，从而执行命令。
3 漏洞复现
搭建Zabbix 3.0.30环境，将Event source设为Auto registration，添加Add Hosts操作到Actions里。向服务器发送恶意的添加Host请求，然后请求该Host ID的自带监控命令，可以看到命令成功执行：
影响范围
目前受影响的Zabbix版本：
Zabbix 2.2.18 - 2.2.23
Zabbix 3.0 - 3.0.30
Zabbix 3.2 - 3.2.11
解决方案
1 官方解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://support.zabbix.com/browse/ZBX-17600
2 深信服解决方案
【深信服下一代防火墙】预计2021年1月13日，可轻松防御此漏洞， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。
【深信服云盾】预计2021年1月13日，从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。
【深信服安全感知平台】预计2021年1月13日，可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。
【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初，云端安全专家即对客户的网络环境进行漏洞扫描，保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。
【深信服安全云眼】预计2021年1月15日，可检测利用该漏洞的攻击，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。
【深信服云镜】预计2021年1月15日，可检测利用该漏洞的攻击，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。
时间轴
2020/10/9 Zabbix 官方发布修复补丁
2020/10/9 深信服千里目安全实验室发布漏洞通告
2021/01/11 漏洞细节在网上公开
2021/01/12 深信服千里目安全实验室发布漏洞二次通告及产品解决方案
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
深信服千里目安全实验室
深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。