Zabbix предупредила о критической уязвимости CVE-2024-42327 в своём решении с открытым исходным кодом для мониторинга
habr.comКомпания Zabbix предупредила о критической уязвимости высокой степени опасности в своём решении с открытым исходным кодом для мониторинга корпоративных сетей, которая может позволить злоумышленникам внедрять произвольные SQL-запросы и скомпрометировать данные или систему.В Zabbix пояснили, что уязвимость CVE-2024-42327 имеет высокую оценку CVSS 9,9 и существует в классе CUser в функции addRelatedObjects, которая вызывается из функции CUser.get и доступна каждому пользователю, имеющему доступ к API.Учётная запись пользователя без прав администратора на интерфейсе Zabbix с ролью пользователя по умолчанию или с любой другой ролью, предоставляющей доступ к API, может быть использована для реализации уязвимости.Исследователи из Qualys выяснили ранее, что эксплуатация этой уязвимости может позволить злоумышленникам повысить привилегии и получить полный контроль над уязвимыми серверами Zabbix на 83 тыс.
системах, открытых для доступа в сети интернет.Уязвимость CVE-2024-42327 затрагивает версии Zabbix 6.0.0–6.0.31, 6.4.0–6.4.16 и 7.0.0.
