CVE-2024-22120

Zabbix Server — time-based blind SQL injection przez pole clientip

CVSS 9.1v3.1pub. 2024-05-17upd. 2025-10-08

W serwerze Zabbix odkryto podatność typu time-based blind SQL injection w polu 'clientip', które nie jest odpowiednio sanityzowane podczas zapisu do dziennika audytu. Luka posiada ocenę CVSS 9.1 (CRITICAL) i umożliwia atakującemu z uprawnieniami administratora wykonanie nieautoryzowanych operacji na bazie danych.

▸ Pokaż oryginał (EN)

Zabbix server can perform command execution for configured scripts. After command is executed, audit entry is added to "Audit Log". Due to "clientip" field is not sanitized, it is possible to injection SQL into "clientip" and exploit time based blind SQL injection.

🤖 Analiza AI

Jak działa

Gdy Zabbix Server wykonuje skonfigurowany skrypt, do tabeli 'Audit Log' dodawany jest wpis zawierający pole 'clientip'. Pole to nie jest poddawane walidacji ani sanityzacji przed wstawieniem do zapytania SQL. Atakujący może wstrzyknąć złośliwy payload SQL do wartości 'clientip', co pozwala na przeprowadzenie ataku time-based blind SQL injection — techniki polegającej na wyciąganiu danych z bazy poprzez mierzenie czasów odpowiedzi serwera.

Skutki

Atakujący z uprawnieniami wysokiego poziomu może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych Zabbix, a potencjalnie również modyfikować lub niszczyć dane (zgodnie z wektorem CVSS: wysokie naruszenie poufności, integralności i dostępności w zmienioną domenę).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://support.zabbix.com/browse/ZBX-24505). Jako środek tymczasowy zaleca się ograniczenie dostępu do interfejsu administracyjnego Zabbix wyłącznie do zaufanych sieci i adresów IP.