개요
Zabbix에서 발생하는 취약점을 해결하는 보안 업데이트를 발표하였습니다. 해당하는 제품 사용자는 최신 버전으로 업데이트 하시기 바랍니다.
대상 제품
CVE-2024-42327
- Zabbix FrontEnd 버전: 6.0.0(포함) ~ 6.0.31(포함)
- Zabbix FrontEnd 버전: 6.4.0(포함) ~ 6.4.16(포함)
- Zabbix FrontEnd 버전: 7.0.0
CVE-2024-42330
- Zabbix 버전: 6.0.0(포함) ~ 6.0.33(포함)
- Zabbix 버전: 6.4.0(포함) ~ 6.4.18(포함)
- Zabbix 버전: 7.0.0(포함) ~ 7.0.3(포함)
해결된 취약점
API 접근 권한이 있는 비관리자 사용자 계정이 CUser 클래스의 addRelatedObjects 함수에 존재하는 SQL 인젝션 취약점을 악용할 수 있는 취약점(CVE-2024-42327)
HttpRequest 객체가 서버의 응답에서 HTTP 헤더를 처리할 때 문자열을 제대로 인코딩하지 않아 내부 문자열이 생성되어 객체의 숨겨진 속성에 접근할 수 있는 취약점(CVE-2024-42330)
취약점 패치
최신 업데이트를 통해 취약점 패치가 제공되었습니다. 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.
CVE-2024-42327
- Zabbix FrontEnd 버전: 6.0.32rc1
- Zabbix FrontEnd 버전: 6.4.17rc1
- Zabbix FrontEnd 버전: 7.0.1rc1
CVE-2024-42330
- Zabbix 버전: 6.0.34rc1
- Zabbix 버전: 6.4.19rc1
- Zabbix 버전: 7.0.4rc1
참고사이트
[1] CVE-2024-42327 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-42327
[2] SQL injection in user.get API (CVE-2024-42327)
https://support.zabbix.com/browse/ZBX-25623
[3] CVE-2024-42330 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-42330
[4] JS – Internal strings in HTTP headers (CVE-2024-42330)