一、漏洞概述
Zabbix Sia Zabbix是拉脱维亚Zabbix SIA(Zabbix Sia)公司的一套开源的监控系统。该系统支持网络监控、服务器监控、云监控和应用监控等。 Zabbix 存在安全漏洞,该漏洞源于在初始设置过程之后,setup.php 文件的某些步骤不仅可以由超级管理员访问,也可以由未经身份验证的用户访问。
二、影响范围
Zabbix 5.4.0 - 5.4.8
三、访问页面
四、漏洞复现
1、登录后台,普通用户/密码Admin/zabbix
2、点击Administration-->scripts功能
3、点击ping进行编辑,点击update进行更新。
cat ../../../../../../flag
4、点击Monitoring-->Maps功能
5、点击设备,选择ping功能。
6、获得flag