一、漏洞详情
Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案。
近日，监测到Zabbix中修复了一个SQL注入漏洞（CVE-2024-42327）。Zabbix前端的CUser类中的addRelatedObjects函数未对输入数据进行充分验证和转义，导致具有API访问权限的恶意用户可以通过user.get API传递特制输入触发SQL注入攻击，进而利用该漏洞实现权限提升或访问敏感数据。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻
二、影响范围
Zabbix 6.0.0 - 6.0.31
Zabbix 6.4.0 - 6.4.16
Zabbix 7.0.0
三、修复建议
目前该漏洞已经修复，受影响用户可升级到Zabbix 6.0.32rc1、Zabbix 6.4.17rc1、Zabbix 7.0.1rc1或更高版本。