知名开源监控系统Zabbix存在SQL注入漏洞

Zabbix 存在 SQL 注入漏洞（CVE-2024-42327），知名注入该漏洞是开源由于在 Zabbix前端的CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义，导致具有API访问权限的监控恶意用户可以通过user.get API传递特制输入触发SQL注入攻击 ，进而利用该漏洞实现权限提升或访问敏感数据。系统

Zabbix是漏洞一个基于WEB界面的提供分布式系统监视以及网络监视功能的建站模板企业级开源监控解决方案，可以用来监控服务器、知名注入硬件、开源网络等。监控

该漏洞位于user.get API端点，系统任何具有API访问权限的漏洞非管理员用户均可利用，包括默认的知名注入“用户”角色 。利用这一漏洞 ，源码库开源攻击者可以通过操控特定的监控API调用，注入恶意SQL代码，系统从而获得未授权的漏洞访问和控制权限
，进而完全控制Zabbix实例，导致敏感监控数据和连接系统的泄露 。

Qualys公司对于该漏洞进行分析，指出利用这个漏洞可能允许攻击者提升权限并获得对易受攻击的模板下载Zabbix服务器的完全控制
，且目前已经发现，有超过83000个暴露在互联网上的Zabbix服务器 。

漏洞具体信息如下：

漏洞等级

高危

受影响版本

目前受影响的Zabbix版本
：

6.0.0 <= Zabbix < 6.0.32rc16.4.0 <= Zabbix < 6.4.17rc1Zabbix 7.0.0修复方案

目前官方已发布新版本修复该漏洞，建议受影响用户升级到Zabbix 6.0.32rc1
、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1或更高版本。服务器租用官网地址 ：https://www.zabbix.com/download

尽管关于CVE-2024-42327的咨询仅在上周发布，但包含该问题补丁的版本6.0.32rc1、6.4.17rc1和7.0.1rc1已于7月发布。这些修补版本还解决了另外一个漏洞
，编号为CVE-2024-36466（CVSS评分为8.8）。该漏洞存在认证绕过问题，可能允许攻击者签署伪造的zbx_session cookie并以管理员权限登录。亿华云

Zabbix版本7.0.1rc1还修复了CVE-2024-36462 ，这是一个不受控制的资源消耗漏洞 ，可能允许攻击者造成拒绝服务（DoS）状态。目前没有发现该漏洞被公开利用的情况 ，强烈建议用户尽快安全最新版本，以修复上述漏洞。

参考来源 ：https://www.securityweek.com/critical-vulnerability-found-in-zabbix-network-monitoring-tool/

香港云服务器