Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je umožněno zneužít funkci spouštění skriptů v sekci Monitoring Hosts, přičemž absence výchozího escapování parametrů skriptu umožní spustit libovolný kód [1].

Zranitelnost se nachází v produktu:

• Zabbix; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2024-22116 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Autentizovanému vzdálenému útočníkovi s přístupem ke konfiguraci jedné položky (omezená role) je umožněno vykonat vzdálené spuštění kódu [2].

Zranitelnost se nachází v produktu:

• Zabbix; >=6.0.0, <=6.0.30; >=6.4.0, <=6.4.1; >=7.0.0alpha1, <=7.0.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H

Více informací:

• CVE-2024-36461 na cve.org, NVD
• CWE-822: Untrusted Pointer Dereference na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Autentizovanému vzdálenému útočníkovi je prostřednictvím protokolu auditu front-endu umožněno zobrazit nechráněná hesla v prostém textu [3].

Zranitelnost se nachází v produktu:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2024-36460 na cve.org, NVD
• CWE-256: Plaintext Storage of a Password na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Neautentizovanému vzdálenému útočníkovi je kvůli nadměrné spotřebě prostředků umožněno způsobit odepření služby, snížit výkon postiženého systému či způsobit pád serveru [4].

Zranitelnost se nachází v produktu:

• Zabbix; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-36462 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Autentizovanému lokálnímu útočníkovi, jež není administrátorem, je umožněno změnit či odstranit důležité funkce (např. odebrání služby Zabbix Agent Service) v rámci aplikace, a tím ovlivnit její integritu a dostupnost [5].

Zranitelnost se nachází v produktu:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Více informací:

• CVE-2024-22121 na cve.org, NVD
• CWE-281: Improper Preservation of Permissions na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno získat statistiky, jako je celkový počet hostitelů a další údaje, prostřednictvím nástroje System Information Widget [6].

Zranitelnost se nachází v produktu:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

• CVE-2024-22114 na cve.org, NVD
• CWE-281: Improper Preservation of Permissions na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno rozbít log soubor Zabbix a přečíst malou část logů [7]. V případě, že by byl server spuštěn od privilegovanějšího uživatele, bylo by mu umožněno vykonat DoS útok [7].

Zranitelnost se nachází v produktu:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-22123 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 8. 2024.