1.漏洞概述

2024 年 5 月 21 日，安全运营中心监测到 Zabbix Server SQL 注入漏洞，漏洞编号：CVE-2024-22120，漏洞威胁等级：高危。

2.漏洞详情

Zabbix 是一个基于 WEB 界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案，可以用来监控服务器、硬件、网络等。

Zabbix 多个受影响版本中存在 SQL 注入漏洞，该漏洞存在于 audit.c 的 zbx_auditlog_global_script 函数中，由于 clientip 字段未经清理，可能导致 SQL 时间盲注攻击，经过身份验证的威胁者可利用该漏洞从数据库中获取敏感信息，并可能导致将权限提升为管理员或导致远程代码执行。

3.影响版本

Zabbix 6.0.0 - 6.0.27

Zabbix 6.4.0 - 6.4.12

Zabbix 7.0.0alpha1 - 7.0.0beta1

4.处置建议

1. 目前该漏洞已经修复，受影响用户可升级到 Zabbix 6.0.28rc1、6.4.13rc1、7.0.0beta2 或更高版本。

下载链接：https://github.com/zabbix/zabbix/tags

预警通告来源：赛尔网络安全运营中心

联系人：梁宇

邮箱：liangyu@cernet.com

电话：15848147651