Zabbix zbxjson模块缓冲区溢出漏洞

漏洞描述

Zabbix 是开源的网络监控和管理工具，zbxjson用于通过 JSON-RPC 方式与 Zabbix 服务器进行通信，监控项功能用来从主机收集数据(如处理器负载等)。

Zabbix 受影响版本中由于 zabbix/src/libs/zbxjson 模块未对 JSON 数据的深度进行校验，导致 zbx_json_open 方法解析 JSON 深度超过 64 层时存在缓冲区溢出漏洞。

攻击者有权限添加监控项或控制配置文件时，可以配置超过64层的嵌套JSONPATH值触发缓冲区溢出，造成远程执行任意代码或拒绝服务。

漏洞名称	Zabbix zbxjson模块缓冲区溢出漏洞
漏洞类型	经典缓冲区溢出
发现时间	2023-10-12
漏洞影响广度	一般
MPS编号	MPS-mvg7-3jsp
CVE编号	CVE-2023-32722
CNVD编号	-

影响范围

zabbix@[6.0.0, 6.0.21rc1)

zabbix@[6.4.0, 6.4.6rc1)

zabbix@[7.0.0alpha1, 7.0.0alpha4)

zabbix@影响所有版本

修复方案

升级zabbix到 6.0.21rc1、6.4.6rc1、7.0.0alpha4 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-mvg7-3jsp

https://nvd.nist.gov/vuln/detail/CVE-2023-32722

https://github.com/zabbix/zabbix/commit/93c04d6260bfa599014532986c421a3a1c93b60b

https://support.zabbix.com/browse/ZBX-23390

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc