CVE-2022-26148
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Grafana 集成 Zabbix 时，Zabbix 密码泄露。
💥 **后果**：攻击者通过查看网页源码，直接获取 Zabbix 账号密码，导致监控数据暴露。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：敏感信息硬编码或明文传输。
📝 **CWE**：数据未提供具体 CWE ID，但属于典型的**凭据泄露**漏洞。
Q3影响谁？（版本/组件）
📦 **受影响**：Grafana **7.3.4 版本及之前版本**。
🔗 **组件**：与 **Zabbix** 集成时的模块。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. 右键查看页面源码。
2. Ctrl+F 搜索 `api_jsonrpc.php`。
3. 找到 `password` 字段，窃取 **Zabbix 账号密码**及 URL。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
✅ **无需认证**：只需访问包含集成配置的页面，右键即可源码审计。
⚙️ **配置要求**：必须启用了 Zabbix 集成。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp/PoC**：
🟢 **有现成模板**：ProjectDiscovery Nuclei 已提供 CVE-2022-26148 检测模板。
🌐 **在野利用**：参考链接显示已有公开讨论和确认。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 访问 Grafana 页面。
2. 右键 -> **查看网页源代码**。
3. 搜索 `api_jsonrpc.php`。
4. 检查其中是否包含 `password` 明文。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
📅 发布时间：2022-03-21。
✅ **建议**：升级至 **7.3.5 及以上版本**以修复此漏洞。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **禁用** Grafana 中的 Zabbix 数据源集成。
2. 若必须使用，确保该页面**不对外公开**或限制访问权限。
3. 定期轮换 Zabbix 密码。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
📉 **风险**：凭据直接泄露，无需复杂攻击链。
🎯 **建议**：立即检查版本，若为 7.3.4 及以下，**立刻升级**！