Trusted Design

CVE-2022-23131 の詳細

CVEの情報

説明:
In the case of instances where the SAML SSO authentication is enabled (non-default), session data can be modified by a malicious actor, because a user login stored in the session was not verified. Malicious unauthenticated actor may exploit this issue to escalate privileges and gain admin access to Zabbix Frontend. To perform the attack, SAML authentication is required to be enabled and the actor has to know the username of Zabbix user (or use the guest account, which is disabled by default).

CVE更新日: 2022-01-13 16:15:08.053000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2022-02-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.956830000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-23131に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-23131は、Zabbix Web Frontendにおける認証バイパスの脆弱性です。この脆弱性は、SAML SSO認証が有効になっているZabbixインスタンスにおいて、セッションデータの不適切な検証が原因で発生します。悪意のある認証されていない攻撃者は、セッションデータを改ざんし、管理者権限を取得してZabbix Frontendにアクセスする可能性があります。

1.1 影響

この脆弱性が悪用されると、以下のような影響が生じる可能性があります。 * 認証バイパスによる管理者権限の取得。 * 機密情報への不正アクセス。 * Zabbix監視システムの潜在的な侵害。 * 標的システムでのリモートコード実行 (RCE) の可能性。 * 企業が重要なシステムへのアクセスを失い、機密情報が漏洩し、最終的に金銭的損失が発生する可能性。 * 侵害されたインフラがボットネット、フィッシングキャンペーン、または企業の信頼された地位の悪用など、さまざまな悪意のある目的に利用される可能性。

1.2 深刻度

CVE-2022-23131は深刻度の高い脆弱性として評価されています。 * CVSSv3 基本評価スコア: 9.8 (Critical) または 9.1 (Critical) * CVSSv3 ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H * 攻撃経路 (AV:N - Network): ネットワーク経由で攻撃可能。 * 攻撃の複雑さ (AC:L - Low): 攻撃の複雑さは低い。 * 必要な特権 (PR:N - None): 特権は不要。 * ユーザーインタラクション (UI:N - None): ユーザーの操作は不要。 * スコープ (S:U - Unchanged): スコープは変更されない。 * 機密性への影響 (C:H - High): 機密性への影響は高い。 * 完全性への影響 (I:H - High): 完全性への影響は高い。 * 可用性への影響 (A:H - High): 可用性への影響は高い。

この脆弱性は、CISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities Catalogにも追加されており、活発な悪用が報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに直接関連するものではなく、Zabbix Web Frontendのバージョンと設定に依存します。

2.2 影響を受ける設定

  • Zabbix Web Frontendのインスタンスで、SAML SSO認証が有効になっている場合に影響を受けます。SAML SSO認証はデフォルトでは有効になっていない設定です。
  • 影響を受けるZabbixバージョン:
    • Zabbix Web Frontend 5.4.8以前 (例: 5.4.0 <= Zabbix <= 5.4.8)
    • Zabbix Web Frontend 5.0.18以前
    • Zabbix Web Frontend 4.0.36以前
    • Zabbix 6.0.0 alpha1

3. 影響を受けた時の兆候

検索結果には、具体的な「影響を受けた時の兆候」は明示されていません。しかし、この脆弱性が活発に悪用されていることから、Zabbix環境でSAML SSO認証を使用している場合は注意が必要です。

4. 推奨対策

4.1 本対策

以下のセキュリティパッチが適用されたバージョンにZabbixをアップグレードしてください。 * Zabbix 5.4.9 * Zabbix 5.0.19 * Zabbix 4.0.37 * Zabbix 6.0 LTS (安定版) * Zabbix 6.0.0beta2 以降

SAML SSO認証機能を使用しているすべてのユーザーは、Zabbixインスタンスを上記のバージョンに更新することが強く推奨されます。

4.2 暫定回避策（緩和策）

  • 最も重要な緩和策は、この脆弱性がSAML SSO認証が有効になっているZabbixインスタンスにのみ影響することから、SAML SSO認証を無効にすることです。ただし、これはSAML SSOに依存している環境では現実的な回避策ではない可能性があります。

他に解説すべき観点

  • 脆弱性の種類: 認証バイパス (Authentication Bypass by Spoofing) に分類され、CWE-290 (Authentication Bypass by Spoofing) に該当します。
  • 根本原因: SAML SSO認証フローにおけるユーザーIDのクレーム検証の不備にあります。Zabbixは、セッションデータに保存されたユーザーログインが正当なSAMLアサーションから発信されたものであることを適切に検証していませんでした。これにより、攻撃者は悪意のあるセッションデータ（セッションクッキー）を細工して認証メカニズムを迂回することが可能になります。
  • エクスプロイトの公開: GitHubなどのプラットフォームでPoC (概念実証) エクスプロイトが公開されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る