知名开源监控系统Zabbix存在SQL 注入漏洞
💡
原文中文，约1200字，阅读约需3分钟。
📝
内容提要
Zabbix存在SQL注入漏洞（CVE-2024-42327），恶意用户可通过API进行攻击，导致权限提升和敏感数据泄露。受影响版本为6.0.0至6.0.32rc16及4.0.0至6.4.17rc1。官方已发布修复版本，建议用户及时升级以确保安全。
🎯
关键要点
- Zabbix存在SQL注入漏洞（CVE-2024-42327），恶意用户可通过API进行攻击。
- 该漏洞导致权限提升和敏感数据泄露，影响版本为6.0.0至6.0.32rc16及4.0.0至6.4.17rc1。
- 漏洞源于CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义。
- 攻击者可通过user.get API传递特制输入触发SQL注入，获得未授权访问和控制权限。
- Qualys公司分析指出，超过83000个Zabbix服务器暴露在互联网上，易受攻击。
- 官方已发布修复版本，建议用户升级到Zabbix 6.0.32rc1、6.4.17rc1、7.0.1rc1或更高版本。
- 修复版本还解决了另一个漏洞CVE-2024-36466，存在认证绕过问题。
- Zabbix版本7.0.1rc1还修复了CVE-2024-36462，可能导致拒绝服务（DoS）状态。
- 强烈建议用户尽快升级到最新版本以修复上述漏洞。
❓
延伸问答
Zabbix的SQL注入漏洞是什么？
Zabbix的SQL注入漏洞（CVE-2024-42327）允许恶意用户通过API进行攻击，导致权限提升和敏感数据泄露。
哪些Zabbix版本受到SQL注入漏洞的影响？
受影响的Zabbix版本包括6.0.0至6.0.32rc16和4.0.0至6.4.17rc1。
如何修复Zabbix的SQL注入漏洞？
用户应升级到Zabbix 6.0.32rc1、6.4.17rc1、7.0.1rc1或更高版本以修复该漏洞。
这个漏洞是如何被利用的？
攻击者可以通过user.get API传递特制输入，触发SQL注入，从而获得未授权访问和控制权限。
Zabbix的SQL注入漏洞有多严重？
该漏洞被评为高危，可能导致攻击者完全控制Zabbix服务器，泄露敏感数据。
除了SQL注入漏洞，Zabbix还有其他漏洞吗？
是的，Zabbix还存在CVE-2024-36466和CVE-2024-36462等漏洞，分别涉及认证绕过和拒绝服务问题。
➡️
