【已复现】Zabbix SQL注入漏洞(CVE-2024-42327) 安全风险通告

主要观点总结

本文介绍了Zabbix SQL注入漏洞（CVE-2024-42327）的相关信息和处置建议。漏洞影响包括网络监控和报警系统Zabbix的某些版本，攻击者可利用此漏洞实现权限提升、数据泄露或系统入侵。官方已发布安全更新和产品解决方案。

关键观点总结

关键观点1: 漏洞概述

Zabbix是一款开源网络监控和报警系统，近日发现其存在SQL注入漏洞（CVE-2024-42327），影响范围较大。

关键观点2: 漏洞详情

漏洞位于Zabbix的addRelatedObjects函数中，具有API访问权限的用户可利用此漏洞进行越权访问或执行恶意SQL语句。

关键观点3: 影响范围

漏洞影响Zabbix版本6.0.0至6.0.31，6.4.0至6.4.16以及7.0.0。国内风险资产总数为31748个，全球风险资产总数为147854个。

关键观点4: 处置建议

官方已发布安全更新和产品解决方案，建议受影响用户尽快升级至最新版本，并采取相应的防护措施。

文章预览

●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Zabbix SQL注入漏洞 漏洞编号 QVD-2024-48731 ,CVE-2024-42327 公开时间 2024-11-27 影响量级 十万级 奇安信评级 高危 CVSS 3.1分数 9.9 威胁类型 权限提升、代码执行 利用可能性 高 POC状态 已公开 在野利用状态 未发现 EXP状态 未公开 技术细节状态 未公开 危害描述： 攻击者可以通过API接口，向_user.get_ API端点发送恶意构造的请求，注入SQL代码，以实现权限提升、数据泄露或系统入侵。 0 1 漏洞详情 > > > > 影响组件 Zabbix 是一款开源的网络监控和报警系统，用于监视网络设备、服务器和应用程序的性能和可用性。 > > > > 漏洞描述 近日，奇安信CERT监测到官方修复 Zabbix SQL注入漏洞(CVE-2024-42327) ，Zabbix的addRelatedObjects函数中的CUser类中存在SQL注入，此函数由 CUser.get 函数调用，具有API访问权限的用户可利 ………………………………