警惕！Zabbix曝出严重漏洞，紧急修复指南速看

一、官方描述

A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access.

二、漏洞概述

漏洞编号：CVE-2024-42327
漏洞类型：SQL注入漏洞
漏洞位置：Zabbix前端的CUser类中的addRelatedObjects函数
漏洞影响：未对输入数据进行充分验证和转义，导致具有API访问权限的恶意用户可以通过user.get API传递特制输入触发SQL注入攻击

三、漏洞危害

1、权限提升与数据访问：
攻击者可以利用此漏洞，通过操控特定的API调用，注入恶意SQL代码。从而获得未授权的访问和控制权限，进而完全控制Zabbix实例。这可能导致敏感监控数据和连接系统的泄露，包括系统配置、性能指标和用户凭据等。

2、系统泄露与扩大攻击面：
攻击者利用其升级的权限，可以泄露底层Zabbix服务器信息。并可能进一步转移到其他连接的系统，造成更广泛的损害。

3、拒绝服务攻击：
攻击者还可以通过操纵或删除关键数据，来中断监控操作。这可能导致被监控的系统或网络出现故障，影响业务的正常运行。

四、受影响版本

目前已知受影响的Zabbix版本包括：
6.0.0 <= Zabbix < 6.0.32rc1
6.4.0 <= Zabbix < 6.4.17rc1
Zabbix 7.0.0

五、修复方案

官方已发布新版本修复该漏洞，建议受影响用户尽快升级到Zabbix最新版本，如6.0.32rc1、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1等。

官方地址：https://www.zabbix.com/download

六、其他漏洞修复

Zabbix 6.0.32rc1、Zabbix 6.4.17rc1或Zabbix 7.0.1rc1除修复CVE-2024-42327外，这些修补版本还解决了另外一个漏洞，编号为CVE-2024-36466。攻击者利用此漏洞伪造或篡改zbx_session cookie，从而绕过正常的身份验证流程，以管理员权限登录系统。

另外Zabbix版本7.0.1rc1还修复了CVE-2024-36462，这是一个不受控制的资源消耗漏洞，它可能允许攻击者通过特定方式造成拒绝服务（DoS）状态。这种漏洞会消耗系统资源，导致系统无法响应正常请求，从而对系统的可用性和稳定性构成威胁。