BDU:2025-05633

Опубликовано: 01 апр. 2025

Источник: fstec

CVSS3: 8

CVSS2: 7.7

EPSS Низкий

Описание

Уязвимость компонента API универсальной системы мониторинга Zabbix связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды путем обработки параметра groupBy

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

Zabbix LLC.

Наименование ПО

РЕД ОС

Astra Linux Special Edition

АЛЬТ СП 10

Zabbix

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (АЛЬТ СП 10)

1.8 (Astra Linux Special Edition)

от 7.0.0 до 7.0.8rc2 (Zabbix)

от 7.2.0 до 7.2.2rc1 (Zabbix)

Тип ПО

Операционная система

Программное средство защиты

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» АЛЬТ СП 10 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,7)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://support.zabbix.com/browse/ZBX-26257

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-zabbix7-lts-server-pgsql-cve-2024-36465/?sphrase_id=966132

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет zabbix до 1:7.0.10+dfsg-2.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18

Для ОС Astra Linux:

обновить пакет zabbix до 1:7.0.10+dfsg-2astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17

Для ОС Astra Linux:

обновить пакет zabbix до 1:7.0.10+dfsg-2astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-36465
CVE

EPSS

Процентиль: 40%

0.00177

Низкий

8 High

CVSS3

7.7 High

CVSS2

Связанные уязвимости

ROS-20250505-05

CVSS3: 8

redos

9 месяцев назад

Уязвимость zabbix7-lts-server-mysql

ROS-20250505-04

CVSS3: 8

redos

9 месяцев назад

Уязвимость zabbix7-lts-server-pgsql

CVE-2024-36465

CVSS3: 8.8

ubuntu

10 месяцев назад

A low privilege (regular) Zabbix user with API access can use SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL commands via the groupBy parameter.

CVE-2024-36465

CVSS3: 8.8

nvd

10 месяцев назад

A low privilege (regular) Zabbix user with API access can use SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL commands via the groupBy parameter.

CVE-2024-36465

CVSS3: 8.8

debian

10 месяцев назад

A low privilege (regular) Zabbix user with API access can use SQL inje ...

EPSS

Процентиль: 40%

0.00177

Низкий

8 High

CVSS3

7.7 High

CVSS2