Zabbix 2.2.1rc1 がリリースされたので直されているリモートシェル実行の脆弱性について調べてみた

http://www.zabbix.com/rn2.2.1rc1.php
http://www.zabbix.com/rn2.0.10rc1.php
http://www.zabbix.com/rn1.8.19rc1.php

特定の条件でAgentが外部のシェルコマンドを実行してしまう脆弱性があったようだ。2.2.1rc1のリリース中に見たものなのでスルーしようかと思いきや、1.8, 2.0のこれまでの全てのバージョンで同様の脆弱性があったらしい。興味が出たのでちょっと深入りする。

結論から言うと、UserParameterをそれなりにしっかり使ってないと発生しない脆弱性に見える。

まず前提知識として、Zabbix AgentのUserParameterについて見てみる。これはユーザがカスタマイズされた監視項目を自分で追加できるスグレモノで、1.8には既にある。

UserParameter=キー,コマンド

キーが送られてきたらAgent上でコマンドが実行される。コマンドはシェルで実行出来るもので良い。つまり、コマンドで数値をトラップ出来さえすればほぼなんでもZabbix Serverへ送信出来るようになる。Agentが標準ではサポートしていない項目でも良い。わふー。

例として手元のzabbix_agentd.confでコメントアウトされている部分を示そう。MySQLの内部データを追加で監視する例がある。

####### USER-DEFINED MONITORED PARAMETERS #######
# Format: UserParameter=,
# Note that shell command must not return empty string or EOL only
#UserParameter=system.test,who|wc -l
### Set of parameter for monitoring MySQL server (v3.23.42 and later)
### Change -u and add -p if required
#UserParameter=mysql.ping,mysqladmin -uroot ping|grep alive|wc -l
#UserParameter=mysql.uptime,mysqladmin -uroot status|cut -f2 -d":"|cut -f1 -d"T"
#UserParameter=mysql.threads,mysqladmin -uroot status|cut -f3 -d":"|cut -f1 -d"Q"
#UserParameter=mysql.questions,mysqladmin -uroot status|cut -f4 -d":"|cut -f1 -d"S"
#UserParameter=mysql.slowqueries,mysqladmin -uroot status|cut -f5 -d":"|cut -f1 -d"O"
#UserParameter=mysql.qps,mysqladmin -uroot status|cut -f9 -d":"
#UserParameter=mysql.version,mysql -V

引数を受け取らない「静的」なUserParameter機能に脆弱性はない。上の例を使っても今回の脆弱性とは関係がない。

この状態だと実行されるコマンドに柔軟性がゼロである。引数を指定できる欲しいかもしれない。例えば1ホスト内に複数監視したいテーブルがMySQL上にあったとすれば、テーブル名を指定する、とか。それをflexible user parameters、日本語訳では「引数付きユーザパラメータ」と(・∀・)ｲｲ!!

……日本語訳では「引数付きユーザパラメータ」と言い、以下のように記述する。

UserParameter=キー[*],コマンド

これで引数を受け取るようになる。詳細は公式ドキュメントに譲ろう。

さて、レポートを見てみる。

https://support.zabbix.com/browse/ZBX-7479

UserParameter=vfs.dir.size[*],du -s -B 1 "${1:-/tmp}" | cut -f1

Agent側の設定 (zabbix_agentd.conf等) に上記のように記述した上でZabbix Server上で下記のようなコマンドを実行すると……

echo -e "vfs.dir.size[\nid\n]" | nc localhost 10050

"id"コマンドが実行されてしまう。

問題はUserParameterの「[*]」部分だ。レポートで言うに改行が含まれていた時にのみ問題が発生する。

この引数はPHPフロントエンド等でパラメータを指定してZabbix Agentにその値を使わせることが出来る。本来はコマンドとして実行されてはいけない。

元のコードでも怪しい文字列 ("\\'\"`*?[]{}~$!&;()<>|#@\0") が入っていたら無視するようにはなっていた。しかし改行については処理がなかった。そして改行後はコマンドと理解されてしまうらしい。

例えば1.8.18のパッチ
https://support.zabbix.com/secure/attachment/25562/zbx-7479-1.8.18.patch

引数部分はPHPフロントエンド等で指定すると述べた。つまり、PHPフロントエンド等が攻撃され、かつZabbix Agentで引数付きユーザパラメータが設定されているときにのみ問題が発生する。Zabbix Proxyが挟まっていれば、そこからも同様のことは出来るだろう、というのがレポートで述べられている。

振り返ってもう一度見てみると、条件は厳し目で、通常ホビーレベルで監視を実行している人だとあまりお世話にならなそうな感じだ。自分でカスタマイズしている人は、それなりに確認すること。

最後にUserParameterの日本語の1.8のドキュメントを挙げておく。面白くないことに2.0以降、日本語のドキュメントはほぼない状態だ (というかjaじゃなくてjpなのか)
https://www.zabbix.com/documentation/jp/1.8/manual/config/user_parameters

2.2の英語ドキュメントはこちら。上記の特殊文字は無視される、と現時点でのドキュメントには記載があるが、今後この文面は変更されるだろう。
https://www.zabbix.com/documentation/2.2/manual/config/items/userparameters

このブログの人気の投稿

風花雪月

 2019年のゲームなので今更感あるんだけど「なしルナ」（金鹿）までやったのでメモっとく（ただしカジュアル）。主に「難易度」と「ストーリー」について感想を書く。 ちょっと前提 自分があまりこの手のゲームに慣れていないこと、あと「ルナは別格に難しい」なんて説明があったこともあって、色々調べ物をしたり警戒しながらやってたんだけど、ネットなどの情報がだいぶ出揃ってる2021年現在、そういう情報をフルに使いこなすと「ルナでも簡単」なのかなと思う。強いキャラとそれに合った成長プランが大体全部出揃ってるのと、試しながらやらないといけないのとでは、そりゃぁ辛さが違うよね、と。 難易度面 ノーマル、ハードについて、難易度的に特に指摘するほどのものがない…… ノーマルは自分の基準からするとおおよそ「イージー」。1周目から個人的にはハード選べば良かった気がした。この手のTRPGにあんまり慣れがないので、色々安全寄りに倒したら（フリー戦闘とかね！）後半がダルダルになってしまった。とはいえ、これは振り返ってそう思うのであって、はじめてやったときに計略が全く使いこなせてなかったり色々システムの基本を追いかけられてなかった中では、妥当かもなとも思う面がある。 基本的に、このゲームはハードですらシステム全体を活用する必要があまりない。一方、ルナだとシステムをそれなりに活用しないと辛いので、ルナがコアなプレイヤーの標準難易度ってことになる気がする。 一方、じゃぁ「標準難易度」としてルナが丁度よいかというと、こちらは、なんというか「ピーキー」で、妙にキッツキツにしすぎているところが目立ってしまって、逆に若干息苦しい。 後で書くけど、DLCの煤闇の章はルナに近接していて、かつ敵が単体で跳ね回る感じではなく、敵の総数がしっかりこちらを押してくる感じがより好印象だった。しかも物語が短くコンパクト。良い。 ルナで厳しく管理しないと行けないと思った要素は後で述べる。 「引き継ぎありハード」のあと、そのまま「引き継ぎなしルナティック」（なしルナ）にチャレンジした（3周目でなしルナ）。「ありルナ」をちょっと試したのだけど、EP.3くらいには「これは後半ダレる！」ってのが目に見えたので、「なしルナ」一直線で、これはちょっとドキドキした。 ルナの前半は面白くもないパズルゲーという感じで、敵の攻撃力があまりに高...
続きを読む

pemって言ったら改行も仕様に含むんだよもん

冗談じゃねぇ、と思ったけどPEMはBASE64を使っていてBASE64はMIMEの仕様の一部で、とたどっていった結果、一行あたりの制約がPEMの仕様に漏れでてくる、ということのようだ。 http://ja.wikipedia.org/wiki/Base64 https://bitbucket.org/hdknr/openidcx/issue/61/certs-pem どうしてそんなことになったかというと、OpenSSLで鍵を読み込んでいるときに、ファイル経由でpemを読んだら問題なかったのに、それをメモリ上にのっけてやってみたらだめだったという事件の流れ。データの違いは改行の違いだけで「この改行って意味があるの！？」とかびびった。 具体的には、PEM_read_bio_PrivateKey() が "bad base64 decode" とか言い出した。そんなわけあるんかいな、と思ったら、あったのだ。 メモリ上にマッピングするときに「改行なんて要らないよね」とか言った自分が悪い。いや、しかし…… PEMというのは -----BEGIN CERTIFICATE----- MIICnjCCAYYCCQCvgY9YjPLo2DANBgkqhkiG9w0BAQUFADARMQ8wDQYDVQQDEwZ1 YnVudHUwHhcNMTIxMDAzMDkyOTM1WhcNMjIxMDAxMDkyOTM1WjARMQ8wDQYDVQQD EwZ1YnVudHUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC8lP+hcVM3 ... Qjyuxx//vDtL53k92bKb2orQkL/3u/cF4ynwy6p646UkEyrQAtbUS1O/F91ZG6k9 GigCBfK8xKa5yMJ7vQQk/vmkrI+pfqc0G4uKV/lvCSmPkXqjxgA/6OvRStazr9Jt LA0gcsiaR0HwBMYe4ESZb3vzKyQKQZwr4SbfLQWPr8DA09kC3nxBo2hAhLYWptlz c9u9i7DWOPMNDxDQvXl+ibG/jqSumEONN+493z5uj/awqSt9lUyPVU7Ngn54FeVN 1iU= -----END CER...
続きを読む

LibreOfficeで表紙、目次、本体でフッターのページ番号のスタイルを変える

イメージ
○ やりたいこと 次のようなドキュメントをLibreOfficeで作りたいの 表紙 (フッターのページ番号はなし) 目次 (フッターのページ番号はローマ数字で例えば i〜iii) 本文 (フッターのページ番号はリセットされて例えば 1〜40) ○ 覚えとく概念 「書式(O)」の「スタイルと書式設定」で段落のスタイルとかを設定できます。 これの内、 段落スタイル を使って色々楽しくやる方法については、以下の本を参照してくだされ。 「スタイルと書式設定」の4つめのボタンが「ページスタイル」の設定です。今回フッターをページごとに変える際にも使います。 ○ 表紙のページスタイルを「最初のページ」にする まぁ簡単ですな ○ 表紙のページで「改ページ」するとともにスタイルもリセットする 「挿入(I)」から「任意区切り」を選んで、改ページを選択します。 ここで「スタイル」ってありますね。ここで次のページのスタイルを設定します。 言い方変えると、改ページしない限り、「次ページのスタイルを変える」ことは原則できません。例外が各ページスタイルで設定されている「次に続くスタイル」です。 基本的にこの項目は「左右見開き」とかそういう限定された時にしか使えませんね。 リセットして、目次用のスタイルを上記「区切りの挿入」で指定します。 ああ、「目次」なんていうページスタイルがLibreOfficeにはない。 というわけで作ります。「スタイルと書式設定」のページスタイルの項で右クリック、「新規作成」を選択します。ここの読者がこんなところでハマると信じたくはないな。……信じとぅない！ 「ページ」タブが重要。最初に「フッターのページ番号をローマ数字にする」って言ったわけで。 これで目次用のスタイルが出来たので、改ページと一緒に次のページスタイルをこれにします。あと、「ページ番号の変更」で1を選ぶのを忘れない。 ○ 目次挿入 「挿入(I)」の「目次と索引 >> 目次と索引」を使います。上の本がちょっとだけ詳しいから省略。 ○ フッターにページ番号入れる。 フッターあたりをクリックして適当にやります。適当に。 フッターを中央寄せ...
続きを読む