CVE-2024-42327: fallo crítico en Zabbix
SQL injection in user.get API
Publicada el · Actualizada el
72Vexday Risk Score
Haz seguimiento. Ella tiene prueba de concepto pública.
ssvc Attendcvss 9.9epss 79%
de la publicación al arma4 días
Publicada en NVD27 nov
1ª PoC+4d
probabilidad de explotación
79%top 1% de las CVE
explotación observada
noninguna fuente lo reporta
12 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Zabbix · ZabbixPoCs públicas encontradas — 12
exploitdbwww.exploit-db.com/exploits/52230no verificadogithubgithub.com/BridgerAlderson/Zabbix-CVE-2024-42327-SQL-Injection-RCE★ 48githubgithub.com/aramosf/cve-2024-42327★ 38githubgithub.com/compr00t/CVE-2024-42327★ 18githubgithub.com/godylockz/CVE-2024-42327★ 9githubgithub.com/depers-rus/CVE-2024-42327★ 3githubgithub.com/watchdog1337/CVE-2024-42327_Zabbix_SQLI★ 3githubgithub.com/RichJJ98/analise-vulnerabilidades-zabbix-notebooklm★ 1githubgithub.com/874anthony/CVE-2024-42327_Zabbix_SQLi★ 1githubgithub.com/igorbf495/CVE-2024-42327★ 0githubgithub.com/fellipefelix06/Zabbix-CVE-2024-42327★ 0githubgithub.com/itform-fr/Zabbix---CVE-2024-42327★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Zabbix
En el mismo producto, de las más peligrosas a las menos.
CVE-2024-22120CRITICALTime Based SQL Injection in Zabbix Server Audit LogEPSS 76.6%CVE-2013-3628—CVE-2013-3628EPSS 67.5%CVE-2023-29452MEDIUMRemove possibility to add html into Geomap attribution fieldEPSS 64.1%CVE-2024-36465HIGHSQL injection in Zabbix APIEPSS 39.9%CVE-2026-23921HIGHBlind, read-only SQL injection in Zabbix API via sortfield parameterEPSS 3.9%CVE-2024-22122LOWAT(GSM) Command InjectionEPSS 1.6%
Referencias
https://support.zabbix.com/browse/ZBX-25623