漏洞描述:
Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案,可以用来监控服务器、硬件、网络等,Zabbix中修复了一个SQL注入漏洞（CVE-2024-42327）,该漏洞的CVSS评分为9.9,Zabbix前端的CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义,导致具有API访问权限的恶意用户可以通过user.get API传递特制输入触发SQL注入攻击,进而利用该漏洞实现权限提升或访问敏感数据。影响范围:
Zabbix 6.0.0 - 6.0.31
Zabbix 6.4.0 - 6.4.16
Zabbix 7.0.0
修复建议:
升级版本目前该漏洞已经修复,受影响用户可升级到Zabbix6.0.32rc1、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1或更高版本。
下载链接:
https://github.com/zabbix/zabbix/tags
临时措施:暂无
参考链接:
https://support.zabbix.com/browse/ZBX-25623
