BDU:2025-05633

Опубликовано: 01 апр. 2025

Источник: fstec

CVSS3: 8

CVSS2: 7.7

EPSS Низкий

Описание

Уязвимость компонента API универсальной системы мониторинга Zabbix связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды путем обработки параметра groupBy

Вендор

ООО «Ред Софт»

АО «ИВК»

Zabbix LLC.

Наименование ПО

РЕД ОС

АЛЬТ СП 10

Zabbix

Версия ПО

7.3 (РЕД ОС)

- (АЛЬТ СП 10)

от 7.0.0 до 7.0.8rc2 (Zabbix)

от 7.2.0 до 7.2.2rc1 (Zabbix)

Тип ПО

Операционная система

Программное средство защиты

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,7)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://support.zabbix.com/browse/ZBX-26257

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-zabbix7-lts-server-pgsql-cve-2024-36465/?sphrase_id=966132

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-36465
CVE

EPSS

Процентиль: 17%

0.00054

Низкий

8 High

CVSS3

7.7 High

CVSS2

Связанные уязвимости

CVE-2024-36465

ubuntu

3 месяца назад

A low privilege (regular) Zabbix user with API access can use SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL commands via the groupBy parameter.

CVE-2024-36465

nvd

3 месяца назад

A low privilege (regular) Zabbix user with API access can use SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL commands via the groupBy parameter.

CVE-2024-36465

debian

3 месяца назад

A low privilege (regular) Zabbix user with API access can use SQL inje ...

ROS-20250505-05

CVSS3: 8

redos

около 2 месяцев назад

Уязвимость zabbix7-lts-server-mysql

ROS-20250505-04

CVSS3: 8

redos

около 2 месяцев назад

Уязвимость zabbix7-lts-server-pgsql

EPSS

Процентиль: 17%

0.00054

Низкий

8 High

CVSS3

7.7 High

CVSS2