Spätná väzba k reportu

Autentizovanému útočníkovi v lokálnej sieti a s prístupom k API je prostredníctvom parametra groupBy umožnené vykonávať ľubovoľné SQL príkazy [1].

Zraniteľnosť sa nachádza v produkte:

• *:Zabbix API; >=7.0.0, <=7.0.7; >=7.2.0, <=7.2.1

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-36465 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 1. 4. 2025.

Neautentizovanému vzdialenému útočníkovi je prostredníctvom parametra backurl umožnené vykonať XSS útok v dôsledku nedostatočného ošetrenia používateľského vstupu v koncovom bode /zabbix.php?action=export.valuemaps [2].

Zraniteľnosť sa nachádza v produkte:

• *Zabbix web interface; >=6.0.0, <=6.0.36; >=6.4.0,<=6.4.20; >=7.0.0, <=7.0.6

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45699 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 1. 4. 2025.

Neautentizovanému útočníkovi v lokálnej sieti je umožnené zasielať špeciálne vytvorené požiadavky na server, ktoré spôsobia nadmernú alokáciu pamäte a výpočtovo náročnú dekompresnú operáciu, čo povedie k pádu služby [3].

Zraniteľnosť sa nachádza v produktoch:

• *:Zabbix Server; >=6.0.0, <=6.0.38; >=7.0.0, <=7.0.9; >=7.2.0, <=7.2.3
• *:Zabbix Proxy; >=6.0.0, <=6.0.38; >=7.0.0, <=7.0.9; >=7.2.0, <=7.2.3

CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-45700 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
• CWE-789: Memory Allocation with Excessive Size Value na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 1. 4. 2025.

Neautentizovanému útočníkovi v lokálnej sieti je umožnené identifikovať používateľské účty na základe rozdielnej doby odozvy pri neúspešnom prihlásení [4].

Zraniteľnosť sa nachádza v produkte:

• *:Zabbix web interface; >=5.0.0, <=5.0.45; >=6.0.0, <=6.0.37; >=7.0.0, <=7.0.8; >=7.2.0, <=7.2.2

CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2024-36469 na cve.org, NVD
• CWE-208: Observable Timing Discrepancy na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 1. 4. 2025.

Autentizovanému útočníkovi v lokálnej sieti je umožnené získať informácie o všetkých používateľoch, ktorí zdieľajú rovnakú skupinu ako volajúci používateľ, vrátane médií a ďalších údajov, ako sú pokusy o prihlásenie [5].

Zraniteľnosť sa nachádza v produkte:

• *:Zabbix API; >=5.0.0, <=5.0.45; >=6.0.0, <=6.0.37; >=7.0.0, <=7.0.8; >=7.2.0, <=7.2.2

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2024-42325 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 1. 4. 2025.