Установщик Zabbix на Ubuntu создаёт файлы настроек агента, Agent2 и прокси с правами, при которых их прочитает любой пользователь системы. Проблема получила идентификатор ZBX-28169, её описали в бюллетене безопасности Zabbix 14 октября 2026 года. Наружу уходят сведения, полезные для подготовки атаки на самом хосте. Серверный файл настроек этой ошибке не подвержен, его права выставлены корректно. Исправление готовят сразу для пяти веток: 6.0, 7.0, 7.4, 8.0 и 8.2.
Уязвимость ZBX-28169 в конфигурационных файлах Zabbix
Речь идёт о правах доступа к файлам, а не о логике самого продукта. Автор отчёта проверил установку на Ubuntu 24.04 с прокси на базе SQLite и увидел файлы, доступные на чтение всем. Те же права обнаружились у обычного агента и Agent2 на версиях 7.4.14 и 7.4.15. Владельцем файлов остаётся root, однако режим доступа разрешает чтение любому локальному пользователю, включая непривилегированные учётные записи.
Чтобы воспользоваться этим, злоумышленнику нужен доступ к самому серверу. На практике такие хосты редко бывают изолированными: рядом работают другие службы, есть учётные записи подрядчиков и технических специалистов. Каждая из них получает содержимое чужой конфигурации.
Что раскрывают файлы настроек
В настройках прокси хранятся или упоминаются сведения, которые упрощают дальнейшие действия на хосте. Это путь к файлу с предварительным общим ключом (PSK), идентификатор ключа и местоположение базы данных SQLite. Рядом идут параметры TLS и пути подключения дополнительных файлов. Предварительный общий ключ нужен для шифрования обмена между компонентами Zabbix.
Сам ключ может лежать в отдельном защищённом файле, и прямого доступа к нему у локального пользователя не будет. Знание его расположения и идентификатора уже даёт информацию о конфигурации. Такую же ценность имеет указание на базу данных: оно подсказывает, где искать данные мониторинга. Именно поэтому в обсуждении отчёта главным назвали вопрос безопасных прав по умолчанию, а не наличие внешней базы у прокси.
Затронуты компоненты Agent, Agent2 и Proxy. Сервер Zabbix в списке не значится, а автор отчёта отметил, что тот же шаблон прав может применяться и в других пакетах.
Исправленные версии и обходные меры
Правку внесли в ветки 6.0.49rc1, 7.0.32rc1, 7.4.16rc1, 8.0.1rc1 и 8.2.0alpha1. Пока это кандидаты в релизы, стабильные сборки получат исправление следом. В трекере ошибку пометили приоритетом Major, то есть уровнем выше среднего по внутренней шкале вендора.
До выхода стабильных пакетов риск снижают вручную. Права на файлы настроек в каталоге /etc/zabbix сужают до владельца. Если службе нужен доступ, его оставляют только её учётной записи; группа и остальные пользователи чтение теряют. Проверить разумно все хосты, где Zabbix ставили из пакетов, особенно размноженные образы Ubuntu 24.04. В контейнерах права наследуются из образа, так что исправление шаблона закрывает вопрос сразу для всех экземпляров. Агенты и прокси получают новую версию по обычной процедуре обновления.
Сведений о применении уязвимости в реальных атаках в бюллетене нет. Для эксплуатации нужен локальный доступ, поэтому удалённо проблему не используют. Требования к злоумышленнику при этом минимальны: хватает прав обычного пользователя хоста. Такой сценарий чаще встречается не в целевых атаках, а при разборе последствий после компрометации одной из служб.
Небезопасные права на файлы настроек встречаются в пакетах регулярно, и внимания им достаётся мало. Готовый вредоносный код не нужен, следов вторжения почти не остаётся. Для систем мониторинга цена такой небрежности выше обычного: в настройках сходятся адреса, ключи и учётные данные для десятков узлов. Закрытие ошибки разумно совместить с аудитом прав на конфигурации, ведь исправление затрагивает сразу пять веток, и часть установок обновится не скоро.
Ссылки
