zabbix漏洞

2022年12月，漏洞Zabbix官方发布了一条安全公告，漏洞编号CVE-2022-23131，漏洞CVSS评分9.8。漏洞这个分数意味着什么？漏洞十个安全运维里至少有八个看到这个数字会直接从椅子上弹起来。漏洞出在Zabbix的漏洞SAML SSO认证环节，攻击者可以绕过身份验证，漏洞直接以Admin身份登录Zabbix前端。漏洞不需要账号密码，漏洞不需要任何前提条件，漏洞一个构造好的漏洞请求就够了。

我当时正在给一家客户做安全巡检，漏洞看到这条公告的漏洞时候后背有点发凉。那家客户的漏洞Zabbix版本正好是6.0.0，而且开了SAML SSO——两个条件全中。漏洞

漏洞到底怎么触发的

Zabbix的SAML认证流程里，有一个叫zbx_session的Cookie，里面存了用户的认证信息。问题出在这个Cookie的签名校验上。Zabbix用了一个叫sign的字段来防篡改，但6.0.0之前的实现有个致命缺陷：当SAML响应中没有返回saml_data属性时，签名校验逻辑会被短路。说白了就是，你只要构造一个特定的Cookie值，把saml_data里的username_attribute改成Admin，再配合一个空签名的sign字段，Zabbix就认了。

这个漏洞的利用门槛低得离谱。不需要什么高级工具，curl就能打。网上很快就出了PoC，三行命令的事。

影响面比想象中大

Zabbix在企业监控领域的使用率极高，尤其是中大型企业，几乎绕不开它。问题在于，很多部署Zabbix的团队并没有把它当成一个高安全等级的资产来对待。它通常跑在内网，运维觉得“内网的东西没人打”。但Zabbix的Web前端一旦被拿下，攻击者能做的事太多了：读取所有监控数据、拿到被监控主机的Agent信息、甚至通过Zabbix的远程命令功能直接在受控主机上执行脚本。从监控系统跳到业务服务器，这条路比很多人想的要短。

那段时间我翻了几个公开的Shodan搜索结果，暴露在公网上的Zabbix实例数量不算少。有些甚至还在用默认的Admin/zabbix登录。SAML漏洞加上弱口令，这组合简直是灾难。

修复和缓解

官方在6.0.1和5.0.19里修了这个问题。核心改动是在SAML认证流程中增加了对saml_data的严格校验，签名验证不再会被空值绕过。如果你跑的是受影响版本，升级是唯一彻底的解法。

暂时升不了级的，有几个应急手段：关掉SAML SSO认证，改用本地认证；或者在Web服务器层面加规则，拦截异常的zbx_session Cookie。但这些都只是权宜之计。我见过有团队把Zabbix前端加了IP白名单，只允许办公网访问，这招虽然粗暴，但确实能挡掉大部分外部攻击面。

另外说一句，Zabbix的漏洞不止这一个。2023年的CVE-2023-32725、2024年的CVE-2024-22116，都是类似的路子——认证绕过或者权限提升。Zabbix功能强大，代码量大，攻击面自然也大。用它可以，但别把它当成一个“装完就不管”的工具。版本跟进、访问控制、日志审计，这些基本功该做还是得做。

回到那个客户。后来我们花了半天时间把Zabbix升到了6.0.1，顺手把SAML配置重新审了一遍。客户问我：“这种漏洞是不是很少见？”我说：“漏洞本身不稀奇，稀奇的是9.8分的洞出在一个几乎每家公司都在用的监控系统上。”