Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je umožnené zneužiť funkciu spúšťania skriptov v sekcii Monitoring Hosts, pričom absencia predvoleného escapovania parametrov skriptu umožní spustiť ľubovoľný kód [1].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-22116 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Autentizovanému vzdialenému útočníkovi s prístupom ku konfigurácii jednej položky (obmedzená rola) je umožnené vykonať vzdialené spustenie kódu [2].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=6.0.0, <=6.0.30; >=6.4.0, <=6.4.1; >=7.0.0alpha1, <=7.0.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H

Viac informácií:

• CVE-2024-36461 na cve.org, NVD
• CWE-822: Untrusted Pointer Dereference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Autentizovanému vzdialenému útočníkovi je prostredníctvom protokolu auditu front-endu umožnené zobraziť nechránené heslá v čistom texte [3].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-36460 na cve.org, NVD
• CWE-256: Plaintext Storage of a Password na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Neautentizovanému vzdialenému útočníkovi je z dôvodu nadmernej spotreby prostriedkov umožnené spôsobiť odmietnutie služby, znížiť výkon postihnutého systému alebo spôsobiť pád servera [4].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-36462 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Autentizovanému lokálnemu útočníkovi, ktorý nie je administrátorom, je umožnené zmeniť alebo odstrániť dôležité funkcie (napr. odobratie služby Zabbix Agent Service) v rámci aplikácie, a tým ovplyvniť jej integritu a dostupnosť [5].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Viac informácií:

• CVE-2024-22121 na cve.org, NVD
• CWE-281: Improper Preservation of Permissions na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené získať štatistiky, ako je celkový počet hostiteľov a ďalšie údaje, prostredníctvom nástroja System Information Widget [6].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2024-22114 na cve.org, NVD
• CWE-281: Improper Preservation of Permissions na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené rozbiť log súbor Zabbix a prečítať malú časť logov [7]. V prípade, že by bol server spustený privilegovanejším používateľom, bolo by mu umožnené vykonať DoS útok [7].

Zraniteľnosť sa nachádza v produkte:

• Zabbix; >=5.0.0, <=5.0.42; >=6.0.0,<=6.0.30; >=6.4.0, <=6.4.15; >=7.0.0alpha1, <=7.0.0rc2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2024-22123 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 8. 2024.