漏洞详情

Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案,可以用来监控服务器、硬件、网络等,Zabbix中修复了一个SQL注入漏洞（CVE-2024-42327）,该漏洞的CVSS评分为9.9,Zabbix前端的CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义,导致具有API访问权限的恶意用户可以通过user.get API传递特制输入触发SQL注入攻击,进而利用该漏洞实现权限提升或访问敏感数据。

影响范围

Zabbix 6.0.0 - 6.0.31

Zabbix 6.4.0 - 6.4.16

Zabbix 7.0.0

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

升级版本目前该漏洞已经修复,受影响用户可升级到Zabbix6.0.32rc1、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1或更高版本:https://github.com/zabbix/zabbix/tags

参考链接

https://support.zabbix.com/browse/ZBX-25623