【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告

admin 2025年4月7日00:52:16评论1 views字数 1720阅读5分44秒阅读模式

● 点击↑蓝字关注我们,获取更多安全风险通告

漏洞概述

漏洞名称

Zabbix groupBy SQL注入漏洞

漏洞编号

CVE-2024-36465,QVD-2025-13797

公开时间

2025-04-02

影响量级

十万级

奇安信评级

高危

CVSS 3.1分数

8.8

威胁类型

代码执行、信息泄露

利用可能性

POC状态

未公开

在野利用状态

未发现

EXP状态

未公开

技术细节状态

未公开

危害描述:具有 API 访问权限的 Zabbix 用户可以通过 groupBy 参数执行任意 SQL 命令。

01
漏洞详情
>>>>

影响组件

Zabbix 是一款开源的网络监控和报警系统,用于监视网络设备、服务器和应用程序的性能和可用性。

>>>>

漏洞描述

近日,奇安信CERT监测到官方修复Zabbix groupBy SQL注入漏洞(CVE-2024-36465),该漏洞源于 include/classes/api/CApiService.php 文件对参数校验不当,导致具有 API 访问权限的 Zabbix 用户可以通过 groupBy 参数执行任意 SQL 命令。鉴于此漏洞影响范围较大,建议客户尽快做好自查及防护。
02
影响范围
>>>>

影响版本

7.0.0 <= Zabbix <= 7.0.7

7.2.0 <= Zabbix <= 7.2.1

>>>>

其他受影响组件

03
复现情况

目前,奇安信威胁情报中心安全研究员已成功复现Zabbix groupBy SQL注入漏洞(CVE-2024-36465),截图如下:

【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告
04
受影响资产情况

奇安信鹰图资产测绘平台数据显示,Zabbix groupBy SQL注入漏洞(CVE-2024-36465)关联的国内风险资产总数为21139个,关联IP总数为6156个。国内风险资产分布情况如下:

【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告
Zabbix groupBy SQL注入漏洞(CVE-2024-36465)关联的全球风险资产总数为115042个,关联IP总数为38698个。全球风险资产分布情况如下:
【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告
05
处置建议
>>>>

安全更新

目前官方已有可更新版本,建议受影响用户升级至最新版本:

Zabbix 7.0.* >= 7.0.8rc2

Zabbix 7.2.* >= 7.2.2rc1

Zabbix 7.4.0alpha1

官方补丁下载地址:

https://www.zabbix.com/download

>>>>

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则,支持对Zabbix groupBy SQL注入漏洞(CVE-2024-36465)的防护。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器(NDS5000/7000/9000系列)产品,已具备该漏洞的检测能力。规则ID为:8111 ,建议用户尽快升级检测规则库至2504031800以上;

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击,请将规则版本升级到3.0.0403.14690或以上版本。规则ID及规则名称:

0x100221C6,Zabbix groupBy SQL注入漏洞(CVE-2024-36465)。奇安信天眼流量探针规则升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。

奇安信自动化渗透测试系统检测方案

奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击,请将插件版本和指纹版本升级到202504032600以上版本。规则名称:Zabbix CVE-2024-36465 SQL注入漏洞。奇安信自动化渗透测试系统规则升级方法:系统管理->升级管理->插件升级(指纹升级),选择“网络升级”或“本地升级”。

奇安信开源卫士产品检测方案

奇安信开源卫士20250403. 952版本已支持对Zabbix groupBy SQL注入漏洞(CVE-2024-36465)的检测。

06
参考资料

[1]https://support.zabbix.com/browse/ZBX-26257

07
时间线

2025年04月03日,奇安信 CERT发布安全风险通告。

08

原文始发于微信公众号(奇安信 CERT):【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年4月7日00:52:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【已复现】Zabbix groupBy SQL注入漏洞(CVE-2024-36465)安全风险通告https://cn-sec.com/archives/3913852.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息