1. Tổng quan và phân tích
CVE-2024-42327 là lỗ hổng bảo mật mức độ nghiêm trọng ảnh hưởng đến phần mềm giám sát Zabbix. Khai thác lỗ hổng, cho phép tác nhân đe dọa tấn công SQL injection với quyền truy cập vào Zabbix API.
Lỗ hổng tồn tại trong lớp CUser bên trong hàm addRelationObjects được gọi bởi hàm CUser.get. Bất kỳ người dùng mặc định hoặc với vai trò nào khác cấp quyền truy cập API đều có thể gọi hàm này nên điều này gây ra nguy cơ đáng kể về tấn công SQL injection.
Kẻ tấn công có thể leo thang đặc quyền, truy cập trái phép vào cấu hình hệ thống, số liệu hiệu suất và thông tin đăng nhập người dùng, từ đó kiểm soát máy chủ Zabbix và tấn công sang các hệ thống khác mà không cần sự tương tác của người dùng.
2. Ảnh hưởng và giảm thiểu rủi ro
Hiện lỗ hổng này đã được vá trong các phiên bản 6.0.32rc1, 6.4.17rc1 và 7.0.1rc1.
| STT | Tên Ứng dụng | Phiên bản ảnh hưởng | Phiên bản cần nâng cấp |
| 1 | Zabbix | 6.0.0 up to 6.0.31 | 6.0.32rc1 |
| 2 | 6.4.0 up to 6.4.16 | 6.4.17rc1 | |
| 3 | 7.0.0 to 7.0.1 | 7.0.1rc1 |
Hạn chế quyền truy cập API ở số lượng người dùng tối thiểu cần thiết và thường xuyên xem xét và kiểm tra việc sử dụng API để phát hiện kịp thời mọi nỗ lực trái phép.
3. Liên quan
