知名开源监控系统Zabbix存在SQL 注入漏洞

Zabbix 存在 SQL 注入漏洞（CVE-2024-42327），该漏洞是由于在 Zabbix前端的CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义，导致具有API访问权限的恶意用户可以通过user.get API传递特制输入触发SQL注入攻击，进而利用该漏洞实现权限提升或访问敏感数据。

Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案，可以用来监控服务器、硬件、网络等。

该漏洞位于user.get API端点，任何具有API访问权限的非管理员用户均可利用，包括默认的“用户”角色。利用这一漏洞，攻击者可以通过操控特定的API调用，注入恶意SQL代码，从而获得未授权的访问和控制权限，进而完全控制Zabbix实例，导致敏感监控数据和连接系统的泄露。

Qualys公司对于该漏洞进行分析，指出利用这个漏洞可能允许攻击者提升权限并获得对易受攻击的Zabbix服务器的完全控制，且目前已经发现，有超过83000个暴露在互联网上的Zabbix服务器。

漏洞具体信息如下：

漏洞等级

高危

受影响版本

目前受影响的Zabbix版本：

6.0.0 <= Zabbix < 6.0.32rc1

6.4.0 <= Zabbix < 6.4.17rc1

Zabbix 7.0.0

修复方案

目前官方已发布新版本修复该漏洞，建议受影响用户升级到Zabbix 6.0.32rc1、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1或更高版本。官网地址：https://www.zabbix.com/download

尽管关于CVE-2024-42327的咨询仅在上周发布，但包含该问题补丁的版本6.0.32rc1、6.4.17rc1和7.0.1rc1已于7月发布。这些修补版本还解决了另外一个漏洞，编号为CVE-2024-36466（CVSS评分为8.8）。该漏洞存在认证绕过问题，可能允许攻击者签署伪造的zbx_session cookie并以管理员权限登录。

Zabbix版本7.0.1rc1还修复了CVE-2024-36462，这是一个不受控制的资源消耗漏洞，可能允许攻击者造成拒绝服务（DoS）状态。目前没有发现该漏洞被公开利用的情况，强烈建议用户尽快安全最新版本，以修复上述漏洞。