Zabbix groupBy SQL注入漏洞(CVE-2024-36465)

↑点击关注，获取更多漏洞预警，技术分享

0x01 组件介绍

    Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。

 fofa: app="ZABBIX-监控系统"

0x02 漏洞描述具有 API 访问权限的低权限（常规）Zabbix 用户可以利用 include/classes/api/CApiService.php 中的 SQL 注入漏洞，通过 groupBy 参数执行任意 SQL 命令。

0x04 漏洞验证

目前POC/EXP尚未公开，后续有更新会及时通过该文章进行更新

0x05 漏洞影响

由于该漏洞影响范围较广，危害较大。但有利用条件，无法简单直接进行利用，企业可按需求排查是否有使用该组件，并做出对应措施。

0x06 修复建议

目前官方已有可更新版本，建议受影响用户升级至最新版本：

官方下载地址：https://www.zabbix.com/download

Zabbix 7.0.* >= 7.0.8rc2

Zabbix 7.2.* >= 7.2.2rc1

Zabbix 7.4.0alpha1

0X07 参考链接

https://support.zabbix.com/browse/ZBX-26257

0x08 免责声明> 本文所涉及的任何技术、信息或工具，仅供学习和参考之用。> 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。> 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。

原文始发于微信公众号（安全探索者）：【漏洞预警】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)