CVE-2024-42327｜Zabbix SQL注入漏洞

0x00 前言

Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。

Zabbix能监视各种网络参数，保证服务器系统的安全运营；并提供灵活的通知机制以让系统管理员快速定位/解决存在的各种问题。

Zabbix由2部分构成，Zabbix server与可选组件Zabbix agent。

Zabbix server可以通过SNMP，Zabbix agent，ping，端口监视等方法提供对远程服务器/网络状态的监视，数据收集等功能，它可以运行在Linux，Solaris，HP-UX，AIX，Free BSD，Open BSD，OSX等平台上。

0x01 漏洞描述

Zabbix前端上具有默认用户角色或具有授予API访问权限的任何其他角色的非admin用户帐户可以利用此漏洞进行攻击。addRelatedObjects函数中的CUser类中存在SQLi，该函数是从CUser.get函数调用的，该函数可用于每个具有API访问权限的用户。

0x02 CVE编号

CVE-2024-42327

0x03 影响版本

Zabbix 6.0.0 - 6.0.31 / 6.0.32rc1 Zabbix 6.4.0 - 6.4.16 / 6.4.17rc1 Zabbix 7.0.0 / 7.0.1rc1

0x04 漏洞详情

https://support.zabbix.com/browse/ZBX-25623

0x05 参考链接

https://support.zabbix.com/browse/ZBX-25623