【漏洞预警】Zabbix Server Audit Log SQL 注入漏洞 (CVE-2024-22120)

漏洞描述:

Zabbix是开源的网络监控工具,用于监控网络服务、服务器和网络设备的性能和可用性,受影响版本中，由于audit.c中的zbx_auditlog_global_script 函数中未对用户可控的clientip进行过滤从而存在SQL注入漏洞,具有登录权限的攻击者可通过Host->SCRIPTS执行包含payload的脚本,脚本执行后将日志添加至Audit Log 时进行时间盲注,窃取数据库敏感敏感信息进而提权至管理员,或在目标服务器上远程执行任意代码。

影响范围:

6.0.0-6.0.27

6.4.0-6.4.12

7.0.0alpha1-7.0.0beta1

安全版本:
将组件 zabbix 升级至 6.0.28rc1 及以上版本

将组件 zabbix 升级至 6.4.13rc1 及以上版本

将组件 zabbix 升级至 7.0.0beta2 及以上版本

解决建议:
建议您更新当前系统或软件至最新版,完成漏洞的修复。

参考链接:
https://support.zabbix.com/browse/ZBX-24505    

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Zabbix Server Audit Log SQL 注入漏洞 (CVE-2024-22120)